Opération Highland : des hackers ont détourné le système d’authentification Linux d’une organisation pendant près de dix ans

On touche peut-être au cauchemar ultime de tout administrateur système avec la saga du week-end. La société Sygnia vient de révéler l’Opération Highland : une intrusion étatique chinoise (Velvet Ant) qui a duré près de dix ans sur des serveurs Linux isolés d’Internet. Leur secret ? Remplacer les modules PAM et les binaires OpenSSH pour intercepter tous les mots de passe à la source. Une mécanique d’espionnage hors norme.

C’est une enquête forensique d’une ampleur exceptionnelle qui vient d’être publiée par la société de réponse aux incidents Sygnia. Un groupe d’espionnage cybernétique d’origine étatique chinoise, traqué sous le nom de Velvet Ant, a réussi l’exploit de maintenir une présence totalement invisible au sein du réseau interne critique d’une grande organisation pendant près d’une décennie. Les premières traces de l’intrusion remontent en effet à l’année 2016.

Pour réussir ce tour de force, les attaquants n’ont pas déployé de simples logiciels malveillants classiques que les outils de détection auraient pu identifier et purger. Ils ont choisi de réécrire directement les composants fondamentaux chargés de gérer la sécurité et les connexions des utilisateurs sur les serveurs Linux.

Un piratage invisible ancré au cœur de l’authentification Linux

Au lieu de multiplier les implants logiciels compromettants, Velvet Ant a ciblé la brique d’authentification basse du système d’exploitation. Le groupe a remplacé le fichier pam_unix.so — le module d’authentification enfichable (PAM) de Linux chargé de valider les mots de passe — ainsi que plusieurs binaires essentiels de la suite OpenSSH (comme ssh, sshd et scp) par des versions altérées contenant des portes dérobées (backdoors).

Cette manipulation a offert aux attaquants un contrôle absolu et transparent sur l’écosystème :

• Contournement des accès : la fonction centrale pam_sm_authenticate a été modifiée pour accepter un mot de passe maître secret. Dès que ce mot de passe était saisi par les hackers, le processus normal de vérification était contourné pour leur accorder un accès immédiat. Pour effacer leurs traces, le code écrasait instantanément la chaîne de caractères du mot de passe dans la mémoire vive de la machine.

• Interception des identifiants (Keylogging) : si un utilisateur légitime se connectait, le module interceptait son identifiant et son mot de passe en texte clair pour les enregistrer de manière invisible dans des fichiers dissimulés sur le disque (comme /usr/sbin/.ssh.log ou /usr/share/man9/ph/.ph.man).

• Espionnage des commandes : Les binaires ssh et sshd falsifiés intégraient un enregistreur de frappe enregistrant la moindre commande tapée par les administrateurs dans leur terminal.

L‘enquête de Sygnia a mis en évidence neuf variantes distinctes du module PAM malveillant, chacune étant spécifiquement liée à un environnement de compilation unique. Cette gestion technique rigoureuse démontre que le groupe disposait de ressources industrielles importantes pour adapter son code à chaque version du système d’exploitation ciblé.

Une infiltration par étapes au sein d’un réseau déconnecté

L’aspect le plus inquiétant de l’Opération Highland réside dans le fait que le réseau critique infiltré ne disposait d’aucune connexion directe à Internet. Velvet Ant a donc conçu un pipeline de déplacement latéral complexe en plusieurs étapes:

[Internet] ➔ [Serveurs Web exposés] ➔ [Tunnelisation réseau IT] ➔ [Zone critique isolée (PAM/SSH modifiés)]

Les attaquants ont d’abord compromis des serveurs web exposés sur Internet en exploitant des configurations Nginx et des passerelles FastCGI pour exécuter des commandes à distance via de simples requêtes HTTP. Ils ont ensuite traversé le réseau informatique général de l’entreprise en établissant des tunnels chiffrés à l’aide d’une version modifiée de l’outil GS-Netcat. Pour se fondre dans la masse des processus système, ce binaire a été renommé auditdb et placé dans le répertoire /usr/sbin/, tandis qu’il masquait sa présence dans la liste des tâches sous le nom de thread de noyau légitime [khubd].

Les détails techniques d’une persistance sophistiquée

Le niveau de discipline opérationnelle (OpSec) de Velvet Ant s’est manifesté à travers de nombreuses techniques de dissimulation avancées intégrées aux binaires OpenSSH modifiés :

En complément de ces modifications lourdes, le groupe a tout simplement ajouté ses propres clés de chiffrement publiques au sein des fichiers authorized_keys des comptes privilégiés, s’assurant un accès permanent sans mot de passe, totalement indépendant des binaires.

Une remédiation à haut risque pour les administrateurs

Parce que l’attaquant s’est installé au cœur même de la pile d’authentification, les procédures classiques de confinement et de nettoyage étaient inefficaces, voire dangereuses. Les portes dérobées survivaient aux réinitialisations de sessions et aux changements de mots de passe. Pire encore, réinitialiser les mots de passe des utilisateurs alors que le module PAM falsifié était encore actif permettait aux hackers de capturer instantanément les nouvelles clés d’accès.

Sygnia souligne qu’une erreur de manipulation ou le remplacement d’un module PAM par une version incompatible ou dépourvue des bonnes dépendances logicielles pouvait provoquer un blocage complet des accès administratifs, paralysant ainsi des infrastructures de production à flux tendu. La remédiation a nécessité la mise en place d’un laboratoire de test dédié afin de profiler individuellement chaque serveur et de déployer des binaires sains certifiés avant de procéder au renouvellement des comptes d’accès.

Ce n’est pas la première fois que les méthodes de persistance à long terme de Velvet Ant sont documentées. Le groupe est connu pour ses attaques ciblant les appliances F5 BIG-IP ainsi que pour l’exploitation de failles zero-day complexes, notamment sur les commutateurs Cisco Nexus (CVE-2024-20399). À chaque fois qu’il est découvert, le collectif déplace ses outils vers des couches réseau ou système moins surveillées pour reconstruire ses accès.

L’analyse complète de l’attaque et l’ensemble des indicateurs de compromission techniques sont disponibles sur le rapport de menace officiel de Sygnia (en anglais).

🦋 L’actualité de l’open source dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol préférées) grâce à notre bot officiel. Suivez, partagez, abonnez-vous à @goodtech.info !