Fire Ant estende le operazioni: router Cisco IOS XR, TACACS e host Linux sotto controllo invisibile

Sygnia, società di incident response, ha documentato un'intrusione attribuita a Fire Ant che allarga l'operatività del gruppo di cyber-spionaggio legato alla Cina ben oltre le piattaforme di virtualizzazione VMware ESXi e vCenter. La campagna, attiva tra il 2025 e il 2026, include ora router Cisco IOS XR, server Terminal Access Controller Access-Control System (TACACS) e host Linux di gestione. Si tratta dei sistemi usati per instradare, autenticare e amministrare reti di alto valore.

Un tunnel GRE invisibile sui router Cisco IOS XR

L'indagine è partita da un'anomalia su un router Cisco IOS XR: un tunnel GRE risultava attivo senza alcuna configurazione nella running-config né traccia nella cronologia dei commit. Sygnia non ha stabilito il vettore di accesso iniziale al router. Seguendo il tunnel, gli investigatori hanno individuato un sistema Linux legacy dal quale Fire Ant eseguiva ripetuti tentativi di connessione e scansioni verso porte amministrative e di servizio su reti collegate, incluse SSH, HTTP, SMB e RDP.

Il malware impiantato sui router IOS XR è stato sviluppato specificamente per il control plane di IOS XR, non si tratta di un generico binario Linux. Un componente incorpora una libreria di sistema modificata che controlla ogni messaggio di log in uscita e lo inoltra solo se contiene la stringa "Health". Tutti gli altri vengono eliminati. Un secondo componente altera il percorso di esecuzione dei comandi per aggiungere un filtro "| exclude" ai comandi show, nascondendo agli amministratori la configurazione del tunnel. Fire Ant ha usato i router compromessi per acquisire file PCAP da più dispositivi Cisco, caricandoli su server FTP esterni. Uno di questi server risultava installato lo stesso giorno del caricamento.

Secondo Sygnia, i router diventavano piattaforme di raccolta di traffico, credenziali e telemetria soppressa, garantendo all'attore visibilità sui flussi che transitano su percorsi di rete fidati. L'attività contro le reti collegate di alto valore, comprese infrastrutture critiche, è rimasta però limitata a scansioni e tentativi di connessione, senza compromissione confermata.

TacTap: furto di credenziali dai server TACACS

Sui server TACACS, Sygnia ha identificato TacTap, un toolset per la raccolta di credenziali. La tecnica di iniezione è nuova: un iniettore posizionato in /usr/sbin/acppid carica una libreria malevola nel processo tac_plus. La libreria aggancia le funzioni che accettano nuove connessioni e passa gli handle di sessione a un secondo processo tramite un socket Unix locale. Le credenziali catturate vengono scritte in /var/log/.tacplus.acct e offuscate con XOR a singolo byte con chiave 0xEF.

Sygnia sottolinea che questa specifica tecnica di iniezione in tac_plus non era mai stata descritta pubblicamente prima e rappresenta un'evoluzione della raccolta credenziali TACACS di Fire Ant. Il furto di credenziali da server TACACS non è una novità assoluta per il gruppo: Mandiant aveva già documentato per UNC3886 lo sniffer TACACS+ LOOKOVER e la sostituzione del demone tac_plus con una versione backdoor.

BridgeAgent e i rootkit Linux: persistenza mimetica sugli host di gestione

Sygnia ha recuperato anche BridgeAgent, una backdoor Linux distribuita sull'host raggiunto via tunnel e mascherata da agente di monitoraggio Zabbix. Persiste tramite l'unità systemd zabbix_agent.service eseguita come root, camuffa il processo come /usr/bin/gnome-shell e contatta l'infrastruttura dell'attore in TLS sulla porta 443 per ricevere comandi e istruzioni per reverse shell.

Sugli host Linux di gestione, Fire Ant ha costruito uno strato di accesso durevole utilizzando i rootkit open source Medusa e REPTILE, backdoor SSH personalizzate e binari rinominati con timestamp alterati per impersonare gli agent SentinelOne e Cybereason. Diversi componenti sono stati impiantati nel 2025 e riutilizzati per attività manuale nel 2026. Almeno una backdoor continuava a girare in memoria dopo l'eliminazione del file dal disco.

Anti-forense e impatto: prove cancellate e rischio elevato

L'attore ha soppresso log dei router, trap SNMP e richieste di autenticazione, ha disabilitato SELinux sugli host Linux, ha riscritto la cronologia dei login e rimosso dai log di sistema le voci dei comandi privilegiati. Queste azioni riducono la capacità dei difensori di ricostruire l'attacco. Sul piano della gravità, il controllo di router, server TACACS e host di gestione rappresenta un rischio elevato per riservatezza e integrità, anche se l'attività osservata contro le infrastrutture critiche non ha superato la fase di scansione e tentativi di connessione.

Attribuzione e contesto

Sygnia valuta una forte sovrapposizione con la reportistica pubblica su UNC3886, il gruppo di spionaggio cinese noto per gli attacchi a piattaforme di virtualizzazione e dispositivi edge di rete. Tuttavia non formula un'attribuzione conclusiva. Mandiant, che ha documentato per primo UNC3886, ha dichiarato l'assenza di sovrapposizioni tecniche con i cluster cinesi separati Salt Typhoon e Volt Typhoon. L'attività del 2026 segue la disclosure di Sygnia su Fire Ant del luglio 2025, relativa allo sfruttamento di VMware ESXi e vCenter e al successivo movimento verso gli strati di rete e gestione. In parallelo, un'advisory congiunta guidata da CISA dell'agosto 2025 attribuiva a Salt Typhoon la raccolta di traffico da router e TACACS+ per rubare credenziali in reti di telecomunicazione.

Indicatori e raccomandazioni per i difensori

Sygnia raccomanda di trattare router, server TACACS, hypervisor e jump host come asset forensi di primo livello. Per la ricostruzione degli incidenti, i log vanno validati incrociando memoria, disco, rete, autenticazione e configurazione, evitando di affidarsi a un'unica fonte di telemetria. Il report completo include set di indicatori e regole YARA.

Tra gli indicatori di compromissione principali:

• TacTap: iniettore /usr/sbin/acppid (SHA1 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00); libreria iniettata /lib/libseconfd.so (955cd45a2f6f226a2fdf44b329af1c8dde90cb38); file credenziali /var/log/.tacplus.acct, decodificato con XOR 0xEF.
• BridgeAgent: persistenza tramite zabbix_agent.service; configurazione cifrata /opt/.ICEauthority; C2 TLS porta 443.
• Impianti IOS XR: /usr/bin/acpid (be6b27f429324a4af05a310d8ec9635e37c68a94); /pkg/bin/dhcpd_show_issu_status (1682b652a15bde732489f22809b0b7594c228fd3); /pkg/bin/hd (b149fa3a34bd585e7a674a4fd9538437bd06f514); script di persistenza /etc/rc.d/init.d/grub-rommon.
• Backdoor VMCI: /var/tmp/audit (13f0c2a598e3aa63856c032a96b110aed963f0e8), comunica via socket VMware Virtual Machine Communication Interface.
• Backdoor attivata da pacchetti: /var/tmp/ping (5ba1242050b5b447052b210788a5a25593d6987d), si attiva su porte TCP 443, 541, 8443, 10443 e con sorgente UDP 40443 verso destinazione 500, con trigger stringa sxcdewqaz!@#.

Non sono state rese note versioni specifiche dei prodotti coinvolti. Sygnia non ha indicato se le vulnerabilità sfruttate siano presenti nel catalogo KEV della CISA. Il focus del report è sulla strumentazione e sulle tecniche post-sfruttamento, più che su singoli CVE.