Fire Ant weitet Operationen aus: Cisco-IOS-XR-Router, TACACS und Linux-Hosts unter unsichtbarer Kontrolle

Sygnia, ein Unternehmen für Incident Response, hat einen Fire Ant zugeschriebenen Eindringversuch dokumentiert, der die Operationsreichweite der mit China verbundenen Cyberspionage-Gruppe weit über die Virtualisierungsplattformen VMware ESXi und vCenter hinaus ausdehnt. Die zwischen 2025 und 2026 aktive Kampagne umfasst nun Cisco-IOS-XR-Router, Terminal Access Controller Access-Control System (TACACS)-Server und Linux-Management-Hosts. Dabei handelt es sich um Systeme, die zum Routing, zur Authentifizierung und zur Verwaltung hochwertiger Netzwerke eingesetzt werden.

Ein unsichtbarer GRE-Tunnel auf Cisco-IOS-XR-Routern

Die Untersuchung begann mit einer Anomalie auf einem Cisco-IOS-XR-Router: Ein GRE-Tunnel war aktiv, ohne dass eine Konfiguration in der Running-Config oder ein Eintrag in der Commit-Historie vorhanden war. Sygnia konnte den ursprünglichen Zugriffsvektor auf den Router nicht feststellen. Dem Tunnel folgend identifizierten die Ermittler ein veraltetes Linux-System, von dem aus Fire Ant wiederholt Verbindungsversuche und Scans auf administrative und dienstbezogene Ports in verbundenen Netzwerken durchführte, darunter SSH, HTTP, SMB und RDP.

Die auf IOS-XR-Routern implantierte Malware wurde speziell für die Control Plane von IOS XR entwickelt und ist kein generisches Linux-Binary. Eine Komponente enthält eine modifizierte Systembibliothek, die jede ausgehende Logmeldung prüft und nur dann weiterleitet, wenn sie die Zeichenkette „Health“ enthält. Alle anderen werden verworfen. Eine zweite Komponente verändert den Ausführungspfad von Befehlen, um show-Befehlen einen Filter „| exclude“ hinzuzufügen und so die Tunnelkonfiguration vor Administratoren zu verbergen. Fire Ant nutzte die kompromittierten Router, um PCAP-Dateien von mehreren Cisco-Geräten zu erfassen und auf externe FTP-Server hochzuladen. Einer dieser Server wurde offenbar am selben Tag wie der Upload installiert.

Laut Sygnia wurden die Router zu Plattformen für die Erfassung von Verkehr, Zugangsdaten und unterdrückter Telemetrie und verschafften dem Akteur Einblick in Datenströme, die über vertrauenswürdige Netzwerkpfade laufen. Die Aktivitäten gegen verbundene hochwertige Netzwerke, einschließlich kritischer Infrastrukturen, beschränkten sich jedoch auf Scans und Verbindungsversuche, ohne bestätigte Kompromittierung.

TacTap: Diebstahl von Zugangsdaten von TACACS-Servern

Auf TACACS-Servern identifizierte Sygnia TacTap, ein Toolset zur Erfassung von Zugangsdaten. Die Injektionstechnik ist neu: Ein Injektor unter /usr/sbin/acppid lädt eine schädliche Bibliothek in den Prozess tac_plus. Die Bibliothek hookt die Funktionen, die neue Verbindungen annehmen, und übergibt die Session-Handles über einen lokalen Unix-Socket an einen zweiten Prozess. Die erfassten Zugangsdaten werden nach /var/log/.tacplus.acct geschrieben und mit einem Ein-Byte-XOR mit Schlüssel 0xEF obfuskiert.

Sygnia betont, dass diese spezifische Injektionstechnik in tac_plus zuvor öffentlich nicht beschrieben wurde und eine Weiterentwicklung der TACACS-Zugangsdatenerfassung von Fire Ant darstellt. Der Diebstahl von Zugangsdaten von TACACS-Servern ist für die Gruppe nicht völlig neu: Mandiant hatte für UNC3886 bereits den TACACS+-Sniffer LOOKOVER und die Ersetzung des Daemons tac_plus durch eine Backdoor-Version dokumentiert.

BridgeAgent und Linux-Rootkits: getarnte Persistenz auf Management-Hosts

Sygnia stellte außerdem BridgeAgent sicher, eine Linux-Backdoor, die auf dem über den Tunnel erreichten Host verteilt und als Zabbix-Monitoring-Agent getarnt war. Sie persistiert über die systemd-Unit zabbix_agent.service, die als Root ausgeführt wird, tarnt den Prozess als /usr/bin/gnome-shell und kontaktiert die Infrastruktur des Angreifers per TLS auf Port 443, um Befehle und Anweisungen für Reverse Shells zu empfangen.

Auf Linux-Management-Hosts baute Fire Ant eine dauerhafte Zugriffsschicht auf, indem die Angreifer die Open-Source-Rootkits Medusa und REPTILE, angepasste SSH-Backdoors sowie umbenannte Binärdateien mit veränderten Zeitstempeln einsetzten, um SentinelOne- und Cybereason-Agenten zu imitieren. Mehrere Komponenten wurden 2025 implantiert und 2026 für manuelle Aktivitäten wiederverwendet. Mindestens eine Backdoor lief nach dem Löschen der Datei von der Festplatte weiter im Speicher.

Anti-Forensik und Auswirkungen: Beweise beseitigt und hohes Risiko

Der Akteur unterdrückte Router-Logs, SNMP-Traps und Authentifizierungsanfragen, deaktivierte SELinux auf Linux-Hosts, überschrieb die Login-Historie und entfernte Einträge zu privilegierten Befehlen aus den Systemprotokollen. Diese Maßnahmen verringern die Fähigkeit der Verteidiger, den Angriff zu rekonstruieren. Hinsichtlich der Schwere stellt die Kontrolle über Router, TACACS-Server und Management-Hosts ein hohes Risiko für Vertraulichkeit und Integrität dar, auch wenn die beobachteten Aktivitäten gegen kritische Infrastrukturen nicht über Scans und Verbindungsversuche hinausgingen.

Attribution und Kontext

Sygnia sieht eine starke Überschneidung mit öffentlichen Berichten zu UNC3886, der chinesischen Spionagegruppe, die für Angriffe auf Virtualisierungsplattformen und Netzwerk-Edge-Geräte bekannt ist. Eine abschließende Attribution wird jedoch nicht vorgenommen. Mandiant, das UNC3886 zuerst dokumentierte, erklärte, dass keine technischen Überschneidungen mit den separaten chinesischen Clustern Salt Typhoon und Volt Typhoon bestehen. Die Aktivität von 2026 folgt auf die Sygnia-Veröffentlichung zu Fire Ant vom Juli 2025, die die Ausnutzung von VMware ESXi und vCenter sowie die anschließende Bewegung in Richtung Netzwerk- und Managementebene betraf. Parallel dazu schrieb eine von CISA geleitete gemeinsame Advisory vom August 2025 Salt Typhoon die Erfassung von Verkehr von Routern und TACACS+ zum Diebstahl von Zugangsdaten in Telekommunikationsnetzen zu.

Indikatoren und Empfehlungen für Verteidiger

Sygnia empfiehlt, Router, TACACS-Server, Hypervisoren und Jump-Hosts als forensische Primär-Assets zu behandeln. Für die Rekonstruktion von Vorfällen müssen Logs durch Abgleich von Speicher, Datenträger, Netzwerk, Authentifizierung und Konfiguration validiert werden; dabei sollte man sich nicht auf eine einzige Telemetriequelle verlassen. Der vollständige Bericht enthält Indikator-Sets und YARA-Regeln.

Unter den wichtigsten Kompromittierungsindikatoren:

• TacTap: Injektor /usr/sbin/acppid (SHA1 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00); injizierte Bibliothek /lib/libseconfd.so (955cd45a2f6f226a2fdf44b329af1c8dde90cb38); Zugangsdatendatei /var/log/.tacplus.acct, dekodiert mit XOR 0xEF.
• BridgeAgent: Persistenz über zabbix_agent.service; verschlüsselte Konfiguration /opt/.ICEauthority; C2 per TLS auf Port 443.
• IOS-XR-Implantate: /usr/bin/acpid (be6b27f429324a4af05a310d8ec9635e37c68a94); /pkg/bin/dhcpd_show_issu_status (1682b652a15bde732489f22809b0b7594c228fd3); /pkg/bin/hd (b149fa3a34bd585e7a674a4fd9538437bd06f514); Persistenzskript /etc/rc.d/init.d/grub-rommon.
• VMCI-Backdoor: /var/tmp/audit (13f0c2a598e3aa63856c032a96b110aed963f0e8), kommuniziert über den Socket der VMware Virtual Machine Communication Interface.
• Paketgesteuerte Backdoor: /var/tmp/ping (5ba1242050b5b447052b210788a5a25593d6987d), aktiviert auf TCP-Ports 443, 541, 8443, 10443 sowie bei UDP-Quelle 40443 zum Ziel 500, mit Trigger-String sxcdewqaz!@#.

Konkrete Versionen der betroffenen Produkte wurden nicht bekannt gegeben. Sygnia machte keine Angaben dazu, ob die ausgenutzten Schwachstellen im KEV-Katalog der CISA enthalten sind. Der Schwerpunkt des Berichts liegt auf der Tooling- und Post-Exploitation-Technik und weniger auf einzelnen CVEs.