Fire Ant étend ses opérations : routeurs Cisco IOS XR, TACACS et hôtes Linux sous contrôle invisible

Sygnia, société de réponse aux incidents, a documenté une intrusion attribuée à Fire Ant qui élargit le champ d’action de ce groupe de cyberespionnage lié à la Chine bien au-delà des plateformes de virtualisation VMware ESXi et vCenter. La campagne, active entre 2025 et 2026, inclut désormais des routeurs Cisco IOS XR, des serveurs Terminal Access Controller Access-Control System (TACACS) et des hôtes Linux d’administration. Il s’agit des systèmes utilisés pour router, authentifier et administrer des réseaux à haute valeur.

Un tunnel GRE invisible sur les routeurs Cisco IOS XR

L’enquête a démarré à partir d’une anomalie sur un routeur Cisco IOS XR : un tunnel GRE était actif sans aucune configuration dans la running-config ni trace dans l’historique des commits. Sygnia n’a pas établi le vecteur d’accès initial au routeur. En suivant le tunnel, les enquêteurs ont identifié un système Linux patrimonial depuis lequel Fire Ant effectuait des tentatives répétées de connexion et des scans vers des ports administratifs et de service sur des réseaux connectés, notamment SSH, HTTP, SMB et RDP.

Le logiciel malveillant implanté sur les routeurs IOS XR a été spécifiquement développé pour le plan de contrôle d’IOS XR ; il ne s’agit pas d’un binaire Linux générique. Un composant embarque une bibliothèque système modifiée qui contrôle chaque message de log sortant et ne le transmet que s’il contient la chaîne « Health ». Tous les autres sont supprimés. Un second composant altère le chemin d’exécution des commandes pour ajouter un filtre « | exclude » aux commandes show, masquant ainsi aux administrateurs la configuration du tunnel. Fire Ant a utilisé les routeurs compromis pour capturer des fichiers PCAP depuis plusieurs équipements Cisco et les téléverser vers des serveurs FTP externes. L’un de ces serveurs avait été installé le jour même du téléversement.

Selon Sygnia, les routeurs devenaient des plateformes de collecte de trafic, d’identifiants et de télémétrie supprimée, garantissant à l’attaquant une visibilité sur les flux transitant par des chemins réseau de confiance. L’activité contre les réseaux connectés à haute valeur, y compris des infrastructures critiques, est toutefois restée limitée à des scans et des tentatives de connexion, sans compromission confirmée.

TacTap : vol d’identifiants sur les serveurs TACACS

Sur les serveurs TACACS, Sygnia a identifié TacTap, un ensemble d’outils de collecte d’identifiants. La technique d’injection est nouvelle : un injecteur placé dans /usr/sbin/acppid charge une bibliothèque malveillante dans le processus tac_plus. La bibliothèque accroche les fonctions qui acceptent de nouvelles connexions et transmet les handles de session à un second processus via un socket Unix local. Les identifiants capturés sont écrits dans /var/log/.tacplus.acct et obfusqués par un XOR à un octet avec la clé 0xEF.

Sygnia souligne que cette technique d’injection spécifique dans tac_plus n’avait jamais été décrite publiquement auparavant et représente une évolution de la collecte d’identifiants TACACS de Fire Ant. Le vol d’identifiants depuis des serveurs TACACS n’est pas une nouveauté absolue pour le groupe : Mandiant avait déjà documenté pour UNC3886 le sniffeur TACACS+ LOOKOVER et le remplacement du démon tac_plus par une version backdoor.

BridgeAgent et les rootkits Linux : persistance mimétique sur les hôtes d’administration

Sygnia a également récupéré BridgeAgent, une backdoor Linux déployée sur l’hôte atteint via le tunnel et déguisée en agent de supervision Zabbix. Elle persiste via l’unité systemd zabbix_agent.service exécutée en tant que root, camoufle le processus sous le nom /usr/bin/gnome-shell et contacte l’infrastructure de l’attaquant en TLS sur le port 443 pour recevoir des commandes et des instructions de reverse shell.

Sur les hôtes Linux d’administration, Fire Ant a construit une couche d’accès durable à l’aide des rootkits open source Medusa et REPTILE, de backdoors SSH personnalisées et de binaires renommés avec des horodatages modifiés pour imiter les agents SentinelOne et Cybereason. Plusieurs composants ont été implantés en 2025 et réutilisés pour une activité manuelle en 2026. Au moins une backdoor continuait de tourner en mémoire après la suppression du fichier du disque.

Anti-forensique et impact : preuves effacées et risque élevé

L’attaquant a supprimé les journaux des routeurs, les traps SNMP et les requêtes d’authentification, désactivé SELinux sur les hôtes Linux, réécrit l’historique des connexions et retiré des journaux système les entrées des commandes privilégiées. Ces actions réduisent la capacité des défenseurs à reconstituer l’attaque. En matière de gravité, le contrôle de routeurs, de serveurs TACACS et d’hôtes d’administration représente un risque élevé pour la confidentialité et l’intégrité, même si l’activité observée contre les infrastructures critiques n’a pas dépassé la phase de scan et de tentatives de connexion.

Attribution et contexte

Sygnia évalue une forte concordance avec les rapports publics sur UNC3886, le groupe d’espionnage chinois connu pour ses attaques contre les plateformes de virtualisation et les équipements réseau de périphérie. L’entreprise ne formule toutefois pas d’attribution définitive. Mandiant, qui a documenté UNC3886 en premier, a déclaré l’absence de chevauchements techniques avec les clusters chinois distincts Salt Typhoon et Volt Typhoon. L’activité de 2026 fait suite à la publication de Sygnia sur Fire Ant de juillet 2025, relative à l’exploitation de VMware ESXi et vCenter puis au déplacement vers les couches réseau et d’administration. En parallèle, un avis conjoint piloté par la CISA d’août 2025 attribuait à Salt Typhoon la collecte de trafic sur des routeurs et TACACS+ pour voler des identifiants dans des réseaux de télécommunications.

Indicateurs et recommandations pour les défenseurs

Sygnia recommande de traiter les routeurs, serveurs TACACS, hyperviseurs et hôtes de rebond comme des actifs forensiques de premier niveau. Pour la reconstitution des incidents, les journaux doivent être validés en croisant mémoire, disque, réseau, authentification et configuration, sans se fier à une source unique de télémétrie. Le rapport complet inclut des jeux d’indicateurs et des règles YARA.

Parmi les principaux indicateurs de compromission :

• TacTap : injecteur /usr/sbin/acppid (SHA1 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00) ; bibliothèque injectée /lib/libseconfd.so (955cd45a2f6f226a2fdf44b329af1c8dde90cb38) ; fichier d’identifiants /var/log/.tacplus.acct, décodé par XOR 0xEF.
• BridgeAgent : persistance via zabbix_agent.service ; configuration chiffrée /opt/.ICEauthority ; C2 TLS port 443.
• Implants IOS XR : /usr/bin/acpid (be6b27f429324a4af05a310d8ec9635e37c68a94) ; /pkg/bin/dhcpd_show_issu_status (1682b652a15bde732489f22809b0b7594c228fd3) ; /pkg/bin/hd (b149fa3a34bd585e7a674a4fd9538437bd06f514) ; script de persistance /etc/rc.d/init.d/grub-rommon.
• Backdoor VMCI : /var/tmp/audit (13f0c2a598e3aa63856c032a96b110aed963f0e8), communique via le socket VMware Virtual Machine Communication Interface.
• Backdoor activée par paquets : /var/tmp/ping (5ba1242050b5b447052b210788a5a25593d6987d), s’active sur les ports TCP 443, 541, 8443, 10443 et avec une source UDP 40443 vers une destination 500, avec la chaîne de déclenchement sxcdewqaz!@#.

Aucune version spécifique des produits concernés n’a été communiquée. Sygnia n’a pas indiqué si les vulnérabilités exploitées figurent dans le catalogue KEV de la CISA. Le rapport met l’accent sur l’outillage et les techniques post-exploitation plutôt que sur des CVE individuels.