Badacze bezpieczeństwa odkryli zaawansowaną kampanię cyberszpiegowską powiązaną z Chinami, w której atakujący przejęli routery Cisco IOS XR, serwery uwierzytelniania TACACS i systemy zarządzania z Linuksem, zamieniając zaufaną infrastrukturę sieciową w platformę do inwigilacji, kradzieży poświadczeń i ukrytego dostępu.
Aktywność ta jest śledzona przez firmę zajmującą się reagowaniem na incydenty, Sygnia, pod nazwą Fire Ant.
Zamiast po prostu przejmować zwykłe serwery lub stacje końcowe pracowników, Fire Ant atakowała infrastrukturę, na której organizacje polegają, by kierować ruchem, uwierzytelniać administratorów i rejestrować aktywność bezpieczeństwa.
Po wejściu do środka atakujący przechwytywali ruch sieciowy, zbierali poświadczenia administracyjne, ukrywali złośliwe konfiguracje i aktywnie manipulowali telemetrią bezpieczeństwa.
W niektórych przypadkach systemy, którym obrońcy zwykle ufają, by wyjaśnić, co się stało, same znajdowały się pod kontrolą atakujących.
To czyni tę kampanię szczególnie niebezpieczną.
Gdy atakujący kontroluje router, serwer uwierzytelniania i logi generowane przez te systemy, tradycyjne założenia reagowania na incydenty zaczynają się rozpadać.
Fire Ant przechodzi od VMware do infrastruktury sieciowej
Fire Ant została po raz pierwszy publicznie opisana przez Sygnię w 2025 roku, gdy badacze analizowali wyjątkowo uporczywe ataki na środowiska VMware ESXi i vCenter.
Aktywność tego aktora w 2026 roku jest ewolucją tej samej podstawowej strategii.
Zamiast koncentrować się tylko na infrastrukturze wirtualizacji, Fire Ant przeniosła się głębiej do tego, co Sygnia nazywa warstwą zaufanej infrastruktury.
Cele obejmowały:
- routery Cisco IOS XR
- serwery uwierzytelniania TACACS
- hosty zarządzania z Linuksem
- systemy pośredniczące (jump)
- infrastrukturę wirtualizacji
Systemy te są szczególnie cenne, ponieważ często znajdują się pomiędzy wieloma strefami sieci i cieszą się zaufaniem dużej części środowiska.
Przejęta stacja robocza daje atakującemu dostęp do jednego komputera.
Przejęty router lub serwer uwierzytelniania może potencjalnie zapewnić wgląd i dostęp w całej infrastrukturze.
Dziwny tunel GRE zdradził atak
Dochodzenie rozpoczęło się od nietypowej anomalii konfiguracji na routerze Cisco IOS XR.
Badacze odkryli aktywny tunel Generic Routing Encapsulation (GRE) powiązany z określonym kontekstem routingu.
Problem polegał na tym, że administratorzy nie mogli znaleźć normalnej konfiguracji ani historii zatwierdzeń (commit), które wyjaśniałyby istnienie tego tunelu.
Innymi słowy, bieżący stan operacyjny routera nie zgadzał się już z tym, co według zapisów konfiguracji powinno działać.
Ta rozbieżność stała się punktem wyjścia dochodzenia.
Dalsza analiza wykazała, że Fire Ant wdrożyła niestandardowe złośliwe oprogramowanie zaprojektowane specjalnie do współdziałania z płaszczyzną sterowania IOS XR.
Nie było to po prostu ogólne złośliwe oprogramowanie dla Linuksa zainstalowane na urządzeniu sieciowym.
Złośliwe komponenty współdziałały bezpośrednio z funkcjami routera dotyczącymi:
- logowania systemowego
- wykonywania poleceń
- routingu
- kontekstów Virtual Routing and Forwarding
- uwierzytelniania AAA
- zarządzania przez Telnet
Badacze Sygnii doszli do wniosku, że Fire Ant w praktyce przekształciła router w kontrolowaną przez atakującego platformę operacyjną.
Atakujący manipulowali logami routera
Jedno z najważniejszych odkryć dotyczyło złośliwego komponentu podszywającego się pod:
/usr/bin/acpid
Implant zawierał zmodyfikowaną bibliotekę syslog IOS XR.
Sygnia ustaliła, że zmieniony proces logowania analizował wychodzące komunikaty logów i przekazywał je dalej tylko wtedy, gdy spełnione były określone warunki.
Efektem było selektywne tłumienie telemetrii routera.
Z perspektywy obrońcy tworzy to niebezpieczną sytuację.
Administrator może przejrzeć logi routera i uznać, że nie wydarzyło się nic nietypowego.
Ale brak dowodów może wynikać po prostu z tego, że złośliwe oprogramowanie uniemożliwiło ich zapisanie.
Fire Ant manipulowała też innymi danymi telemetrycznymi podczas szerszego włamania, w tym:
- logowaniem routera
- żądaniami AAA
- pułapkami SNMP
- zapisami uwierzytelniania w Linuksie
- historią poleceń uprzywilejowanych
Atakujący celowali więc nie tylko w systemy, ale także w dowody wykorzystywane do badania tych systemów.
Manipulowano nawet poleceniami routera
Aktor poszedł dalej niż tłumienie logów.
Sygnia odzyskała kolejny złośliwy komponent, który zmieniał sposób, w jaki administratorzy widzieli informacje z interfejsu wiersza poleceń routera.
Złośliwe oprogramowanie modyfikowało wykonywanie poleceń IOS XR w taki sposób, że do poleceń show można było po cichu dodawać dodatkowe filtry wykluczające.
Śledczy znaleźli aktywność z filtrami zaprojektowanymi do ukrywania informacji związanych ze złośliwym tunelem, w tym jego interfejsu, źródła, celu i kontekstu routingu.
Oznacza to, że administrator mógł ręcznie sprawdzić router i nadal otrzymać niepełny obraz.
To ważne rozróżnienie.
Wiele zespołów bezpieczeństwa zakłada, że nawet jeśli scentralizowany monitoring jest przejęty, zalogowanie się bezpośrednio do urządzenia ujawni jego prawdziwą konfigurację.
Fire Ant pokazała, że to założenie może zawieść, gdy samo urządzenie zostało zmodyfikowane tak, by okłamywało swojego administratora.
Router stał się platformą inwigilacji
Po przejęciu infrastruktury Cisco Fire Ant wykorzystywała też routery do zbierania ruchu sieciowego.
Sygnia zaobserwowała generowanie zrzutów pakietów na wielu urządzeniach Cisco i eksportowanie ich na zewnętrzne serwery FTP.
Aktywność korzystała z legalnych procesów i kont administracyjnych, co utrudniało odróżnienie jej od normalnej konserwacji.
Zrzuty pakietów z routerów mogą być niezwykle cenne dla aktora szpiegowskiego.
W zależności od środowiska mogą ujawniać:
- wewnętrzną topologię sieci
- połączenia administratorów
- przepływy uwierzytelniania
- relacje routingu
- komunikację aplikacji
- połączenia między oddzielnymi strefami bezpieczeństwa
- potencjalne poświadczenia lub informacje o sesjach
Przejęta stacja końcowa pokazuje atakującemu, co dzieje się na jednej maszynie.
Przejęty router może pokazać, co dzieje się w dużej części sieci.
Fire Ant zyskała więc zarówno zasięg, jak i widoczność.
TACACS stał się pułapką na poświadczenia
Kampania celowała także w TACACS, protokół uwierzytelniania powszechnie używany do kontroli dostępu administracyjnego do routerów, przełączników i innego sprzętu sieciowego.
Organizacje często używają serwerów TACACS jako centralnego organu określającego:
- kto może logować się do urządzeń sieciowych
- jakie polecenia mogą wykonywać administratorzy
- jakie działania administracyjne powinny być rejestrowane
Fire Ant przejęła również tę warstwę uwierzytelniania.
Sygnia odkryła wcześniej nieudokumentowany zestaw narzędzi do kradzieży poświadczeń, który nazywa TacTap.
Zestaw zawierał złośliwy iniektor o nazwie:
/usr/sbin/acppid
oraz złośliwą bibliotekę:
/lib/libseconfd.so
Iniektor umieszczał złośliwą bibliotekę bezpośrednio wewnątrz działającego procesu uwierzytelniania tac_plus.
Biblioteka następnie przechwytywała (hook) funkcje odpowiedzialne za przyjmowanie sesji TACACS i przekazywała uchwyty aktywnych połączeń do innego złośliwego procesu.
Pozwoliło to atakującym umieścić swój kod wewnątrz samego procesu uwierzytelniania.
Przechwycono poświadczenia administracyjne
Sygnia odzyskała ukryty plik z poświadczeniami w lokalizacji:
/var/log/.tacplus.acct
Plik zawierał materiał poświadczeń związany z TACACS i był lekko zaciemniony za pomocą jednobajtowej operacji XOR.
W praktyce Fire Ant mogła potencjalnie zbierać poświadczenia administracyjne w trakcie, gdy używali ich legalni inżynierowie.
Jest to znacznie poważniejsze niż kradzież hasła jednego administratora z jednej stacji roboczej.
TACACS jest wąskim gardłem uwierzytelniania.
Jego przejęcie może ujawnić poświadczenia należące do wielu administratorów na wielu urządzeniach sieciowych.
Tworzy to też kolejny problem śledczy.
Jeśli atakujący ukradnie poświadczenia legalnego administratora, a później ich użyje, logi bezpieczeństwa mogą wskazywać, że działał prawdziwy administrator.
Pytanie nie brzmi już po prostu:
Które konto wykonało polecenie?
Obrońcy muszą też zapytać:
Czy możemy ufać systemowi uwierzytelniania, który to zarejestrował?
Podobieństwa do UNC3886
Aktywność Fire Ant wykazuje wyraźne zbieżności techniczne z UNC3886, powiązaną z Chinami grupą szpiegowską szeroko opisaną przez Mandiant.
UNC3886 historycznie atakowała trudne do monitorowania technologie, w tym:
- hiperwizory VMware
- urządzenia Fortinet
- routery Juniper
- infrastrukturę zarządzania siecią
- serwery TACACS
Mandiant wcześniej udokumentował, że UNC3886 używała złośliwego oprogramowania o nazwie LOOKOVER do przechwytywania poświadczeń TACACS, a później zastępowała legalnego demona tac_plus wersją z backdoorem.
Mandiant udokumentował też przypadki, w których UNC3886 przejmowała routery Juniper i wdrażała niestandardowe złośliwe oprogramowanie zaprojektowane specjalnie do działania w infrastrukturze sieciowej, w której często brakuje konwencjonalnego monitoringu bezpieczeństwa stacji końcowych.
Dochodzenie Sygnii w sprawie Fire Ant zawiera kilka podobieństw, w tym zbieranie poświadczeń, użycie powiązanych technik rootkitów, a nawet ponowne użycie tej samej wartości XOR, którą wcześniej zaobserwowano w kradzieży poświadczeń TACACS przez UNC3886.
Jednak Sygnia nie przedstawiła ostatecznej atrybucji łączącej Fire Ant z UNC3886.
Najbezpieczniejszy wniosek jest taki, że Fire Ant to aktor szpiegowski powiązany z Chinami, którego techniki w znacznym stopniu pokrywają się z wcześniej udokumentowaną aktywnością UNC3886.
Backdoory założono także w systemach zarządzania z Linuksem
Operacja wykraczała poza routery Cisco i serwery TACACS.
Sygnia odkryła trwałe złośliwe oprogramowanie w infrastrukturze zarządzania opartej na Linuksie.
Jeden z nowo udokumentowanych implantów, nazwany BridgeAgent, podszywał się pod agenta monitoringu Zabbix.
Utrzymywał się dzięki usłudze systemd zabbix_agent.service działającej z uprawnieniami root.
Po aktywacji maskował swój proces jako:
/usr/bin/gnome-shell
i komunikował się z infrastrukturą kontrolowaną przez atakujących za pomocą szyfrowanych połączeń.
Atakujący używali też:
- komponentów rootkitów powiązanych z Medusa
- backdoorów w stylu REPTILE
- niestandardowych backdoorów SSH
- implantów uruchamianych pakietem sieciowym
- plików binarnych podszywających się pod oprogramowanie SentinelOne i Cybereason
Kilka złośliwych komponentów wdrożono początkowo w 2025 roku i pozostały użyteczne również w 2026, co pokazuje nacisk Fire Ant na długotrwałe utrzymanie dostępu.
Złośliwe oprogramowanie przebrane za oprogramowanie zabezpieczające
W jednej szczególnie zwodniczej technice Fire Ant zmieniała nazwy złośliwego oprogramowania, aby przypominało legalne składniki ochrony stacji końcowych.
Atakujący umieszczał złośliwe oprogramowanie w katalogach powiązanych z produktami zabezpieczającymi i modyfikował znaczniki czasu, aby pliki wyglądały na spójne z legalnym oprogramowaniem.
Niektóre złośliwe pliki były następnie usuwane, podczas gdy ich procesy nadal działały w pamięci.
Tworzy to problemy dla dochodzeń opartych wyłącznie na analizie systemu plików.
Złośliwy proces może pozostać aktywny, nawet jeśli jego pierwotny plik wykonywalny już nie istnieje na dysku.
Sygnia zaleca więc analizowanie wielu źródeł dowodów, zamiast zakładać, że artefakty z dysku opowiadają całą historię.
Fire Ant badała powiązaną infrastrukturę krytyczną
Jednym z bardziej niepokojących aspektów kampanii było to, co Sygnia nazywa „celem za celem”.
Początkowo przejęte środowisko miało zaufane połączenia z innymi cennymi sieciami.
Dzięki kontroli nad routerami, serwerami uwierzytelniania i systemami zarządzania z Linuksem Fire Ant zyskała pozycję, z której mogła badać te połączenia.
Badacze zaobserwowali skanowanie i próby połączeń w kierunku środowisk o wysokiej wartości, w tym systemów powiązanych z infrastrukturą krytyczną.
Aktywność dotyczyła usług takich jak:
- SSH
- HTTP i HTTPS
- SMB
- porty związane z RPC
- RDP
Konieczne jest jednak ważne rozróżnienie.
Sygnia nie zgłosiła potwierdzonego naruszenia tych powiązanych środowisk infrastruktury krytycznej.
Zaobserwowana aktywność polegała na rozpoznaniu, sondowaniu i próbach nawiązania łączności.
Jak Fire Ant początkowo przejęła routery Cisco?
Pozostaje to nieznane.
Sygnia zidentyfikowała rozległą aktywność po przejęciu i przeprowadziła inżynierię wsteczną złośliwych komponentów wdrożonych w środowisku Cisco IOS XR.
Śledczy nie zdołali jednak ustalić pierwotnego punktu wejścia aktora do routera.
Ma to znaczenie, ponieważ incydentu nie należy opisywać jako wykorzystania konkretnej luki w Cisco, dopóki nie pojawią się dodatkowe dowody.
Obecnie raport Sygnii nie daje podstaw do stwierdzenia, że odpowiadał za to konkretny identyfikator CVE.
Atakujący mógł uzyskać dostęp przez:
- skradzione poświadczenia
- inny przejęty system zarządzania
- lukę w zabezpieczeniach
- nieudokumentowaną ścieżkę dostępu
ale wskazanie, którą z nich, byłoby spekulacją.
Organizacje powinny więc skupić się nie tylko na łataniu, ale także na zabezpieczeniu całego łańcucha zaufania zarządzania siecią.
Dlaczego routery są atrakcyjnymi celami szpiegowskimi
Routery zajmują wyjątkową pozycję w sieciach korporacyjnych.
Często:
- łączą różne strefy bezpieczeństwa
- przenoszą wrażliwy ruch
- obsługują sesje administratorów
- przechowują informacje o topologii sieci
- komunikują się z serwerami uwierzytelniania
- zapewniają łączność z organizacjami zewnętrznymi
Jednocześnie wiele routerów nie obsługuje tych samych agentów EDR, które wdraża się na serwerach z Windows i Linuksem.
Grupy zagrożeń takie jak UNC3886 wielokrotnie koncentrowały się na tego typu infrastrukturze, ponieważ zapewnia uprzywilejowany dostęp przy stosunkowo ograniczonej widoczności stacji końcowych.
Urządzenie sieciowe może więc stać się szczególnie cenną kryjówką dla zaawansowanego atakującego.
Gdy logi bezpieczeństwa przestają być wiarygodne
Być może najważniejszą lekcją z kampanii Fire Ant nie jest samo złośliwe oprogramowanie.
Jest nią załamanie zaufania do telemetrii.
Zwykle w dochodzeniu można wykorzystać:
- historię konfiguracji routera
- syslog
- rozliczanie (accounting) TACACS
- zapisy uwierzytelniania w Linuksie
- zdarzenia SNMP
- historie poleceń
aby zrekonstruować włamanie.
Fire Ant manipulowała kilkoma z tych źródeł jednocześnie.
Osoba reagująca na incydent, która patrzy tylko na jedno źródło logów, może więc dojść do błędnego wniosku.
Czysty log routera nie oznacza, że nic się nie stało, jeśli podsystem logowania routera został przejęty.
Legalne logowanie TACACS niekoniecznie identyfikuje atakującego, jeśli serwer uwierzytelniania kradł poświadczenia.
Czysty system plików nie gwarantuje, że złośliwe oprogramowanie zniknęło, jeśli usunięte procesy nadal działają w pamięci.
Zespoły bezpieczeństwa potrzebują niezależnych źródeł dowodów, które mogą się wzajemnie potwierdzać.
Co powinny zrobić organizacje
Organizacje używające routerów Cisco i scentralizowanej infrastruktury zarządzania siecią powinny traktować routery, systemy uwierzytelniania i hosty zarządzania jako pełnoprawne zasoby bezpieczeństwa.
✅ Monitoruj urządzenia sieciowe niezależnie
Nie polegaj wyłącznie na logach generowanych przez monitorowane urządzenie.
Tam, gdzie to możliwe, eksportuj telemetrię do zewnętrznych, chronionych systemów, których urządzenie sieciowe nie może modyfikować z mocą wsteczną.
✅ Chroń infrastrukturę TACACS
Serwery TACACS należy traktować jako wysoce uprzywilejowane systemy uwierzytelniania.
Dostęp administracyjny powinien być ściśle ograniczony, a aktywność na serwerze monitorowana pod kątem:
- nieoczekiwanych bibliotek
- wstrzykiwania do procesów
- zmodyfikowanych plików binarnych
tac_plus - podejrzanych plików z poświadczeniami
- nieznanych lokalnych gniazd
- nietypowych procesów z uprawnieniami root
✅ Porównuj konfigurację ze stanem operacyjnym
Nieoczekiwane interfejsy, tunele lub trasy, których nie da się wyjaśnić historią konfiguracji, należy zbadać.
Ukryty tunel GRE Fire Ant odkryto właśnie dlatego, że stan operacyjny routera nie zgadzał się z oczekiwaną konfiguracją.
✅ Ogranicz dostęp do zarządzania routerami
Interfejsy zarządzania powinny być osiągalne wyłącznie z dedykowanych sieci administracyjnych.
Należy unikać ekspozycji w internecie i szerokiego dostępu z sieci wewnętrznej.
✅ Chroń poświadczenia administratorów
Używaj ściśle kontrolowanych kont uprzywilejowanych i ogranicz ponowne wykorzystywanie poświadczeń na różnych urządzeniach sieciowych.
Tam, gdzie to praktyczne, dostęp uprzywilejowany powinien być wspierany przez utwardzone stacje robocze administratorów i silne uwierzytelnianie.
✅ Analizuj pamięć podczas dochodzeń
Kontrole forensyczne ograniczone do dysku mogą przeoczyć zaawansowane implanty.
Analiza pamięci może ujawnić procesy, których pliki wykonywalne zostały już usunięte lub ukryte.
✅ Przeszukuj całą warstwę zarządzania
Jeśli jeden router został przejęty, dochodzenie powinno wykraczać poza ten router.
Organizacje powinny przejrzeć:
- sąsiednie routery
- serwery TACACS
- hosty pośredniczące (jump hosts)
- hiperwizory
- systemy zarządzania z Linuksem
- stacje robocze administratorów
- połączone sieci
Przejęty router może być tylko jednym elementem większej architektury dostępu.
Podsumowanie
Kampania Fire Ant z 2026 roku pokazuje, jak niebezpieczne może być przejęcie podstawowej infrastruktury sieciowej.
Według Sygnii aktor powiązany z Chinami zamienił routery Cisco IOS XR w ukryte platformy operacyjne, przechwytywał ruch sieciowy, tłumił logi bezpieczeństwa i manipulował wynikami poleceń. Przejął infrastrukturę uwierzytelniania TACACS, aby zbierać poświadczenia administratorów, i utrzymywał długotrwały dostęp przez systemy zarządzania z Linuksem.
Aktor wykorzystał następnie tę uprzywilejowaną pozycję do badania tras prowadzących do innych sieci o wysokiej wartości, w tym infrastruktury krytycznej, choć Sygnia nie zgłosiła skutecznego przejęcia tych połączonych środowisk.
Początkowa metoda uzyskania dostępu do routerów Cisco również pozostaje nieznana, a badanie nie wskazuje konkretnego identyfikatora CVE Cisco jako punktu wejścia.
To, co zostało potwierdzone, jest prawdopodobnie ważniejsze: gdy Fire Ant przejęła kontrolę nad zaufaną infrastrukturą, mogła wpływać zarówno na sieć, jak i na dowody, na których obrońcy polegali, by tę sieć zrozumieć.
Routerów, serwerów uwierzytelniania, hiperwizorów i hostów zarządzania nie można traktować jak niewidzialnej infrastruktury. To zasoby bezpieczeństwa o wysokiej wartości, a gdy atakujący przejmują samą warstwę zaufania, logi i poświadczenia, które normalnie dają pewność, mogą stać się częścią oszustwa.
