Velvet Ant verbrachte 10 Jahre in einem Air‑Gapped‑Netzwerk, indem sie die Linux‑Authentifizierung trojanisierte

Eine chinesische Cyberspionagegruppe namens Velvet Ant hat laut einem Bericht von BleepingComputer über eine Untersuchung von Sygnia etwa zehn Jahre lang verdeckten Zugang zu einem Air‑Gapped‑Netzwerk kritischer Infrastruktur aufrechterhalten, von 2016 bis zur Entdeckung 2026. Die Operation – genannt Operation Highland – zeigt, dass physische Netzwerkisolation allein keinen ausreichenden Schutz gegen einen geduldigen und technisch versierten Gegner bietet.

Was ist ein Air‑Gapped‑Netzwerk und warum ist es wichtig?

Ein Air‑Gapped‑Netzwerk ist ein Netzwerk, das keine Verbindung zum Internet oder zu einem externen Netzwerk hat. Datenverkehr kann weder über eine normale Netzwerkverbindung hinein noch hinaus fließen. Organisationen, die Stromnetze, industrielle Steuerungssysteme, klassifizierte Regierungsnetzwerke oder sensible Finanzinfrastruktur betreiben, verlassen sich oft auf Air Gaps als letzte Verteidigungslinie – unter der Annahme, dass entfernte Angreifer ohne einen Netzwerkpfad diese Systeme einfach nicht erreichen können.

Operation Highland zeigt, dass diese Annahme bei ausreichend Zeit und Entschlossenheit falsch sein kann.

Wie Velvet Ant die Lücke überbrückte

Der Angriff erfolgte in Stufen, wobei jede Stufe die Reichweite der Gruppe tiefer in die Zielorganisation hinein ausdehnte:

• Stufe 1 – Internetzugänglicher Fußabdruck: Velvet Ant kompromittierte zunächst Server, die dem öffentlichen Internet ausgesetzt waren, und richtete Reverse Shells und SOCKS5‑Proxys ein, um sich lateral durch das normale interne Netzwerk der Organisation zu bewegen.
• Stufe 2 – Überwindung des Air Gap: Die Angreifer bauten dann eine HTTP‑to‑SSH‑Ausführungsbrücke – ein Relay, das Befehle vom Internet‑verbundenen Netzwerk in die isolierte Umgebung weiterleitete. Dies ist der Mechanismus, der physisch den Air Gap überwand: Das isolierte Netzwerk hatte keinen Internetzugang, aber ein interner Host konnte Anweisungen von einer Seite zur anderen weiterleiten.
• Stufe 3 – Trojanisierung des Authentifizierungsstapels: Sobald sie sich im isolierten Netzwerk befanden, ersetzte Velvet Ant kritische Linux‑Systembinärdateien. Insbesondere tauschten sie die legitime PAM (Pluggable Authentication Modules)-Bibliothek und die OpenSSH-Ausführungsdateien – ssh, sshd und scp – gegen modifizierte Versionen mit versteckten Backdoors aus.

Warum das Ersetzen von PAM so gefährlich ist

PAM ist die Schicht von Linux, die die Authentifizierung für praktisch jeden Anmeldemechanismus verwaltet: SSH‑Anmeldungen, lokale Konsolenzugriffe, sudo-Befehle und mehr. Durch das Ersetzen von PAM durch eine trojanisierte Version betten sich die Angreifer in den Authentifizierungsprozess selbst ein, anstatt als separater Prozess zu existieren, der erkannt und beendet werden könnte.

Die praktischen Konsequenzen sind schwerwiegend. Da der Backdoor innerhalb des Authentifizierungsstapels lebt, nützt das Ändern von Passwörtern nichts – jede neue Anmeldeinformation wird in dem Moment geerntet, in dem sie zur Authentifizierung verwendet wird. Die Angreifer erlangten vollständige Sichtbarkeit aller administrativen Aktivitäten auf kompromittierten Hosts und sammelten Anmeldeinformationen von jeder Anmeldung und jedem Befehl, der unter privilegierten Sitzungen ausgeführt wurde. Selbst eine vollständige Passwortrotation würde frische Anmeldeinformationen direkt an die Angreifer liefern.

Das Ersetzen der OpenSSH‑Binärdateien verschärft dies: Der trojanisierte sshd konnte stillschweigend vom Angreifer kontrollierte Schlüssel akzeptieren oder alle Sitzungsinhalte protokollieren, während er für Systemadministratoren normal funktionierte.

Zehn Jahre unentdeckt

Die Dauer ist ebenso bedeutsam wie die Technik. Velvet Ant hielt diesen Zugang von 2016 bis zur Entdeckung im Jahr 2026 aufrecht. Diese Art von Persistenz ist nur möglich, wenn der Schädling tief in vertrauenswürdigen Systemkomponenten eingebettet ist, sich in das legitime Systemverhalten einfügt und in einer Umgebung operiert, in der Binärintegritätsprüfungen nicht routinemäßig durchgeführt werden.

Air‑Gapped‑Umgebungen erhalten oft weniger Sicherheitsüberprüfungen als internetverbundene, gerade weil sie als sicher gelten. Diese Annahme schafft einen Erkennungsblindfleck.

Was Verteidiger daraus mitnehmen sollten

Operation Highland weist auf mehrere Lücken hin, die selbst in Hochsicherheitsumgebungen häufig vorkommen:

• Binärintegritätsprüfung: Kritische Linux‑Binärdateien – insbesondere PAM‑ und SSH‑Komponenten – sollten kryptografisch gegen bekannte gute Hashes verifiziert werden. Tools wie aide, tripwire oder dm‑verity auf eingebetteten Systemen können unbefugte Ersetzungen erkennen.
• Segmentierung ist kein Burggraben: Air Gaps verlangsamen Angreifer; sie stoppen sie nicht. Jeder Host, der zwei Netzwerksegmente verbindet – auch indirekt – ist ein potenzieller Übergangspunkt.
• Prüfprotokollierung, die nicht vom Host geändert werden kann: Wenn das Protokollierungssystem auf demselben kompromittierten Host läuft, kann eine trojanisierte PAM‑ oder SSH‑Binärdatei Einträge unterdrücken oder fälschen. Ein Nur‑Anhängen‑Remote‑Syslog an einen Out‑of‑Band‑Empfänger ist unerlässlich.
• Annahme langer Verweilzeiten: Die Bedrohungsjagd in isolierten Umgebungen sollte nicht davon ausgehen, dass das Fehlen aktueller Warnungen die Abwesenheit einer Kompromittierung bedeutet. Velvet Ant war ein Jahrzehnt lang drin.

Die Velvet‑Ant‑Operation ist eine Erinnerung daran, dass Gegner mit ausreichender Motivation und Zeit Wege finden werden, die physische Isolation zu umgehen. Der Goldstandard der Air‑Gap‑Sicherheit gilt nur, wenn die Software, die innerhalb dieses Perimeters läuft, kontinuierlich darauf überprüft wird, dass sie das ist, was sie vorgibt zu sein.