Čínští hackeři pronikli do sítě bez přístupu k internetu a šmírovali ji celou dekádu. Vyhodit je bylo ještě těžší

Firma odhalila špionážní operaci, při které se čínská hackerská skupina dostala do izolované sítě a zůstala v ní nepozorovaně zhruba 10 let.

Zdroj fotografie: Pexels

Zpráva publikovaná 8. června 2026 pod názvem Operation Highland popisuje jeden z nejextrémnějších zdokumentovaných průniků poslední dekády. Nejstarší forenzní artefakty sahají do roku 2016. Útočníci se nedostali do oddělené sítě jedním skokem přes internet, ten tam totiž nebyl. Místo toho vybudovali vícestupňový řetězec kompromitovaných serverů, který jim umožnil proklouznout z veřejně dostupných systémů až do segmentu bez internetové konektivity. A jakmile byli uvnitř, zabudovali se tak hluboko do autentizačních mechanismů Linuxu, že jejich odstranění hrozilo odříznutím legitimních správců od celé infrastruktury.

Jak se dostali tam, kam internet nesahá

Síť bez přístupu k internetu, takzvaný air-gap, bývá považována za poslední obrannou linii. Velvet Ant ji neprolomil tím, že by do ní natáhl kabel zvenku. Postupoval metodicky, server po serveru.

Nejprve kompromitoval veřejně dostupný webový server. Na něm nasadil nástroj GS-Netcat a SOCKS5 tunel, kterými si zajistil trvalý vzdálený přístup. Pak upravil konfiguraci webového serveru Nginx tak, aby konkrétní URL adresy přesměrovával na interní backendový server. Ten měl rovněž pozměněný Nginx, který požadavky posílal do FastCGI procesu na separátním portu. FastCGI wrapper po přijetí požadavku spustil binárku pojmenovanou uptime, která podle parametrů v HTTP POST požadavku navázala SSH spojení se serverem uvnitř oddělené sítě a tam spustila skript.

Z pohledu útočníka šlo o elegantní trik: poslal obyčejný HTTP požadavek na veřejný server a výsledkem bylo spuštění kódu uvnitř izolovaného segmentu. Air-gap neobešel internetem, ale přes důvěryhodné vnitřní mosty.

Dekáda ve stínu autentizačního stacku

Medián doby, po kterou špionážní útočníci zůstávají v napadené síti, než je někdo odhalí, činí podle zprávy M-Trends 2026 od Mandiantu 122 dní. Velvet Ant vydržel zhruba třicetinásobek.

Klíčem k tak dlouhé přítomnosti nebyl žádný exotický malware, ale manipulace s komponentami, kterým správci důvěřují ze své podstaty. Sygnia identifikovala devět různých variant upraveného modulu pam_unix.so, součásti linuxového autentizačního systému PAM. Některé varianty umožňovaly přihlášení přes zadní vrátka, jiné tiše kradly uživatelská jména a hesla. Vedle toho útočníci nahradili binárky OpenSSH (ssh, sshd, v některých případech i scp a ssh-keygen) vlastními verzemi, které logovaly každý příkaz zadaný na kompromitovaném hostu.

Stopy po sobě pečlivě zametali. Logy šifrovali, časová razítka souborů falšovali a celé vlastní logování šlo vypnout speciálním přepínačem -d. Procesy maskovali pod nevinně vypadající názvy jako [khubd], smbd -D nebo [kauditd] -sh. Pro běžného administrátora se systém choval naprosto normálně.

Proč bylo vyhození noční můrou

Odstranit útočníka, který sedí v samotné vrstvě ověřování identity, je jako vyměňovat motor za jízdy. Sygnia to popisuje bez příkras: špatná výměna PAM modulu nebo OpenSSH binárky mohla správce kompletně odříznout od hostu. V prostředí bez internetového připojení navíc nešlo jednoduše stáhnout čisté balíčky z důvěryhodných repozitářů.

Situaci komplikovala i různorodost prostředí, více distribucí a verzí Linuxu na různých serverech. Forenzní tým musel vybudovat laboratorní repliku celé infrastruktury a každý krok obnovy nejprve otestovat offline. K tomu přistupoval fakt, že útočníci zneužívali i soubory authorized_keys pro SSH, takže smazání jedné služby nestačilo – perzistence měla více nezávislých kotev.

Kdo je Velvet Ant a proč nejde o jednorázovou záležitost

Velvet Ant není nová tvář. Sygnia tohoto čínského špionážního aktéra sleduje minimálně od června 2024, kdy publikovala analýzu jeho perzistence přes zařízení F5 BIG-IP. V srpnu téhož roku přidala popis zneužití zero-day zranitelnosti CVE-2024-20399 na přepínačích Cisco Nexus. MITRE skupinu eviduje pod označením G1047.

Vzorec je konzistentní: Velvet Ant se opakovaně přesouvá do méně monitorovaných vrstev infrastruktury, ze serverů na síťové prvky, z běžných aplikací do autentizačního stacku. Pro srovnání: skupina APT41 podle amerického ministerstva spravedlnosti zasáhla přes sto obětí po celém světě kombinací špionáže, ransomwaru a krádeží zdrojových kódů. Salt Typhoon se podle FBI zaměřil na telekomunikační firmy a kradl metadata hovorů. Operation Highland ukazuje jinou specializaci: tichý, hluboký a extrémně trpělivý průnik do jednoho izolovaného prostředí.

Co z toho plyne pro českou infrastrukturu

Český Národní úřad pro kybernetickou a informační bezpečnost už v roce 2022 upozorňoval, že útoků na air-gapped systémy přibývá a že samotná izolace není zárukou bezpečnosti. Česká regulace kritické informační infrastruktury počítá se segmentací sítí, demilitarizovanými zónami, jump servery a vícefaktorovým ověřováním pro vzdálené přístupy. Zda konkrétní české organizace provozují skutečný air-gap a jak důsledně kontrolují integritu systémových komponent, veřejně známo není.

Praktické poučení z Operation Highland je přitom univerzální. Správci by měli pravidelně kontrolovat hashe kritických souborů jako pam_unix.so, ssh a sshd, monitorovat změny v konfiguracích PAM a SSH, sledovat podezřelé procesy a mít připravený offline postup obnovy otestovaný na replice prostředí. Izolace změní způsob, jakým se útočník dovnitř dostane. Neznemožní mu to.

Sygnia to ve své zprávě shrnuje jednou větou, která by mohla viset zarámovaná v každém serverovém sále: segregace sítě mění vektor počátečního přístupu, ale nekompromitovatelnost nezaručuje.