Grupo hacker chinês manipula camada PAM e mantém acesso clandestino por quase uma década
Um grupo avançado de ciberespionagem ligado à China conseguiu permanecer escondido por quase dez anos dentro da rede de uma grande organização, segundo investigação conduzida pela empresa de segurança Sygnia. A operação recebeu o nome de Operation Highland e foi atribuída ao grupo conhecido como Velvet Ant, especializado em ataques de longa duração e difícil detecção.
O que torna o caso particularmente grave não é apenas o tempo em que os invasores permaneceram ativos, mas a sofisticação das técnicas usadas para evitar a expulsão definitiva da rede. Mesmo quando partes da operação eram identificadas e removidas pelas equipes de segurança, os criminosos não abandonavam o ambiente. Em vez disso, reposicionavam-se estrategicamente, migravam para outros segmentos da infraestrutura e criavam novos canais de acesso clandestino.
Os primeiros indícios da presença do Velvet Ant remontam a 2017. Desde então, o grupo conseguiu progredir gradualmente dentro da organização, alcançando áreas cada vez mais sensíveis. Em determinado momento, os hackers invadiram inclusive segmentos de rede sem conexão direta com a internet, tradicionalmente considerados mais seguros e, muitas vezes, menos monitorados.
Um dos pontos centrais da campanha foi a adulteração da camada PAM (Pluggable Authentication Modules) em servidores Linux. A PAM é o mecanismo responsável por orquestrar o processo de autenticação de usuários nesse tipo de sistema, integrando diversas formas de verificação, como senha, chave, token ou autenticação de múltiplos fatores. Ao comprometer essa camada, os invasores passaram a atuar exatamente no “coração” do processo de login.
Ao modificar componentes do PAM, o grupo conseguiu registrar senhas de usuários legítimos no momento do login, obtendo credenciais válidas sem disparar, inicialmente, alertas óbvios. Em alguns casos, os criminosos chegaram a inserir uma espécie de “senha mestra” secreta, criada por eles mesmos, que lhes permitia entrar nos sistemas independentemente das contas de usuários existentes. Na prática, isso significa que, mesmo que as senhas legítimas fossem trocadas, os invasores ainda tinham uma porta paralela garantida.
Esse tipo de ataque é especialmente perigoso porque se mistura ao funcionamento normal do sistema. Em vez de depender apenas de malware tradicional, que muitas vezes é bloqueado por antivírus ou ferramentas de detecção, o Velvet Ant explorou a própria infraestrutura de autenticação do Linux. Assim, cada tentativa de login legítima podia ser transformada em uma oportunidade para expandir o acesso dos atacantes.
A duração da operação evidencia como campanhas de espionagem digital – muitas vezes classificadas como APTs (ameaças persistentes avançadas) – conseguem se manter ativas por anos quando encontram ambientes com monitoramento limitado ou com visibilidade reduzida sobre o que acontece em camadas críticas do sistema, como autenticação, logs e tráfego interno. Não se tratou de um ataque rápido para extorsão, mas de uma infiltração silenciosa, paciente, voltada à coleta contínua de informações.
Outro aspecto relevante é a falsa sensação de segurança em redes internas e ambientes isolados da internet, como segmentos industriais, redes de laboratório ou infraestruturas legadas. O caso mostra que estar “offline” não é sinônimo de estar protegido. Se o invasor já obteve um ponto de apoio em algum lugar da rede, ele pode utilizar acessos internos, dispositivos de manutenção, conexões temporárias e credenciais de administradores para se mover lateralmente, alcançando até áreas que teoricamente não deveriam ser expostas.
Do ponto de vista de defesa, o incidente reforça a necessidade de monitorar não apenas a borda da rede e os acessos vindos da internet, mas também o que acontece “por dentro”: logins em servidores críticos, alterações em arquivos de configuração, modificações em bibliotecas do sistema e comportamentos anômalos de contas administrativas. Ferramentas de auditoria de integridade e de análise de comportamento são fundamentais para detectar adulterações em componentes sensíveis, como a camada PAM.
A investigação também aponta para a importância de estratégias de segmentação rígida, princípios de menor privilégio e revisão contínua de acessos. Em um cenário como o da Operation Highland, cada credencial exposta, cada servidor desatualizado e cada exceção de segurança mal documentada pode servir como trampolim para que um grupo avançado expanda sua presença silenciosamente ao longo de anos.
Embora o caso remeta diretamente à espionagem patrocinada por Estados, ele traz lições práticas para empresas de todos os portes. Mesmo organizações menores podem ser vítimas de ataques que exploram falhas de monitoramento, configurações inseguras ou a ausência de controles adequados sobre autenticação. Revisar a segurança da camada PAM, endurecer a configuração de servidores Linux e garantir que alterações em componentes críticos gerem alertas imediatos deixaram de ser cuidados opcionais.
Outro ponto em destaque é o papel crescente da inteligência artificial na defesa cibernética. Cenários de longa permanência, como o da Operation Highland, revelam lacunas que ferramentas tradicionais, baseadas apenas em assinaturas ou regras estáticas, nem sempre conseguem cobrir. Modelos de IA aplicados à segurança vêm sendo usados para analisar grandes volumes de logs, identificar padrões incomuns de acesso, detectar desvios sutis no comportamento de contas e correlacionar eventos que, isoladamente, pareceriam irrelevantes.
Ao acelerar a detecção de anomalias e reduzir o tempo entre identificação e resposta, a IA ajuda a encurtar exatamente o intervalo de tempo que grupos como o Velvet Ant exploram para se manter ativos. Em vez de anos, a meta passa a ser semanas, dias ou até horas de permanência média de um invasor dentro da rede. Isso exige não só tecnologia, mas também processos maduros de resposta a incidentes e equipes preparadas para interpretar alertas avançados.
Parcerias entre empresas especializadas em segurança também ganham relevância nesse cenário. A união de competências em resposta a incidentes, inteligência de ameaças, proteção de identidades e automação baseada em IA cria um ecossistema mais robusto para enfrentar campanhas que combinam furtividade, persistência e conhecimento profundo de sistemas corporativos. Em ataques que manipulam camadas tão sensíveis quanto o PAM, muitas vezes é necessário o olhar combinado de especialistas em sistemas operacionais, redes, forense digital e arquitetura de identidade.
Do lado das organizações, algumas boas práticas emergem como essenciais após casos como esse: auditoria periódica de configurações de autenticação, uso de autenticação multifator sempre que possível, rotação sistemática de credenciais, aplicação rigorosa de patches de segurança em servidores Linux e validação de integridade de arquivos de sistema e módulos de autenticação. Investir em visibilidade – saber quem acessa o quê, quando e de onde – torna-se tão importante quanto investir em barreiras de prevenção.
Por fim, a Operation Highland serve como um alerta sobre a mudança de paradigma na segurança corporativa. A velha noção de “perímetro seguro” perde relevância quando o invasor demonstra capacidade de viver, por anos, dentro das paredes da organização, explorando espaços pouco iluminados do ambiente digital. A adoção de abordagens como Zero Trust, em que nenhum acesso é considerado confiável por padrão, mesmo dentro da rede, deixa de ser tendência e passa a ser necessidade concreta para reduzir o impacto de campanhas de espionagem sofisticadas.
O caso do grupo Velvet Ant, ao expor a manipulação da camada PAM e a permanência quase decenal em um único alvo, sintetiza o desafio atual: ataques silenciosos, sustentados por alto nível técnico, explorando falhas de visibilidade e confiança excessiva em ambientes internos. Enfrentar esse tipo de ameaça exige combinar tecnologia avançada, como soluções baseadas em IA, com práticas rigorosas de governança de acesso, monitoramento contínuo e cultura de segurança em todos os níveis da organização.