Wie Fire Ant vertrauenswürdige Netzwerkinfrastruktur zur Spionageplattform macht

Die mutmaßliche Kampagne von Fire Ant markiert einen strategischen Wechsel in der Angriffsebene. 2025 wurde der China-nahe Akteur mit schwer erkennbaren Zugriffen auf VMware-ESXi- und vCenter-Umgebungen in Verbindung gebracht. Bis Ende August 2026 beschrieben Berichte dann kompromittierte Cisco-IOS-XR-Router, TACACS-Authentifizierungsserver und Linux-Managementhosts – also Systeme, die Datenverkehr weiterleiten, Administratoren authentifizieren und Betriebsumgebungen miteinander verbinden. 1011

Das ist deshalb brisant, weil solche Komponenten deutlich mehr Einblick und Reichweite bieten können als eine einzelne virtuelle Maschine oder ein gewöhnlicher Endpunkt. Das unmittelbare Opfer ist möglicherweise nur der erste Zugang zu einer größeren Operation: zum „Ziel hinter dem Ziel“.

Vom Hypervisor zur Steuerungsebene

Die früheren VMware-Aktivitäten von Fire Ant zielten auf Virtualisierungsinfrastruktur, die dauerhaften Zugriff auf gehostete Workloads ermöglichen kann. Die spätere Analyse von Sygnia beschreibt dagegen eine Kampagne gegen besonders vertrauenswürdige Infrastruktur: Netzwerkgeräte, Authentifizierungsdienste und Managementhosts. 10

Damit verlagert sich der Sammelpunkt in die Steuerungsebene des Netzes. Ein kompromittierter Router kann Datenverkehr beobachten und weiterleiten. Ein kompromittierter TACACS-Server liegt mitten im administrativen Authentifizierungsweg. Ein infizierter Sprung- oder Managementhost kann als Brücke zwischen ansonsten getrennten Systemen dienen. Zusammen können diese Zugänge die Beziehungen zwischen Administratoren, Geräten, Netzwerken und verbundenen Organisationen offenlegen. 1011

So soll die Operation funktioniert haben

Ein unerklärter GRE-Tunnel als möglicher Pivot

Ermittler fanden auf einem Cisco-IOS-XR-Router eine aktive GRE-Schnittstelle, die sich weder durch die laufende Konfiguration noch durch die Commit-Historie erklären ließ. GRE steht für „Generic Routing Encapsulation“ und kapselt ein Protokoll in einem äußeren IP-Paket, das zwischen zwei Tunnelendpunkten übertragen wird. Ein nicht autorisierter Tunnel kann daher einen verdeckten Transport- oder Weiterleitungsweg schaffen. 39

Nicht jeder unerklärte Tunnel beweist eine Kompromittierung. Entscheidend war hier jedoch, dass der aktive Gerätezustand nicht mit dem üblichen Prüf- und Änderungsprotokoll übereinstimmte. Eine solche Abweichung sollte eine sofortige Untersuchung auslösen, weil sie auf Aktivitäten außerhalb normaler Konfigurationsabläufe hindeuten kann.

BridgeAgent tarnt Persistenz als Monitoring

Auf einem älteren Linux-Managementsystem setzte Fire Ant laut den Berichten BridgeAgent ein und gab die Schadsoftware als Zabbix-Monitoring-Agent aus. Das Implantat unterstützte demnach TLS-verschlüsselte Reverse Shells. So konnten die Betreiber ihre Verbindung über Datenverkehr aufrechterhalten, der wie legitime Verwaltungs- oder Überwachungsaktivität wirken konnte. 1012

Ein Managementhost ist als Sprungbrett besonders wertvoll: Er darf möglicherweise bereits Router, Authentifizierungsdienste, Monitoring-Systeme oder andere abgeschottete Netzbereiche erreichen.

Der Router wurde zur Sammel- und Relaisplattform

Der kompromittierte IOS-XR-Router konnte dazu dienen, Datenverkehr mitzuschneiden, Paketmitschnitte zwischenzuspeichern und PCAP-Dateien abzuziehen. Die Beobachtung auf Routerebene kann kommunizierende Systeme, Protokolle, Adressbereiche, Routing-Beziehungen und – bei nicht ausreichend geschützten Verbindungen – auch sensible Inhalte oder Zugangsdaten offenlegen. 1011

Der Router erfüllte damit mehr als eine reine Persistenzfunktion. Er wurde zu einem Beobachtungspunkt im Verbindungsgeflecht des Netzes – mit Informationsgewinn und zusätzlicher Reichweite. Zugleich konnte sich die schädliche Aktivität möglicherweise zwischen gewöhnlichen Netzwerkprozessen verbergen.

TacTap zielte auf den Authentifizierungs-Engpass

Fire Ant kompromittierte offenbar nicht nur einzelne Endgeräte, auf denen Administrator-Zugangsdaten abgegriffen werden konnten, sondern die zentrale TACACS-Infrastruktur selbst. Sygnia beschrieb ein Werkzeug namens TacTap, das eine Bibliothek in den Prozess tac_plus einschleuste, akzeptierte TACACS-Sitzungen abfing und laufende Sitzungsdateideskriptoren an einen lokalen Unix-Socket weitergab. Außerdem wurde unter /var/log/.tacplus.acct ein XOR-verschleiertes Credential-Artefakt angelegt. 10

Ein TACACS-Server kann den administrativen Zugangsweg zu Netzwerkgeräten sichtbar machen: welche Administratoren sich anmelden, welche Geräte eine Autorisierung anfordern, wann Sitzungen stattfinden und möglicherweise welches Zugangsmaterial der Dienst verarbeitet. Ein Angriff auf dieser Ebene schwächt sowohl die Zugriffskontrolle als auch das Vertrauen in die daraus entstehenden Auditdaten.

Weitere Backdoors knüpften an die Virtualisierungserfahrung an

Auf dem TACACS-System identifizierten die Ermittler außerdem eine Backdoor unter /var/tmp/audit, die VMware-VSOCK/VMCI-Schnittstellen nutzte. Solche Kommunikationskanäle zwischen Gast und Host müssen innerhalb des Linux-Gasts nicht wie gewöhnliche Netzwerk-Anmeldungen aussehen und bieten damit eine weitere verdeckte Option. 10

Technisch knüpft dies an Fire Ants früheres Interesse an virtualisierungsnaher Infrastruktur an. Der Akteur suchte offenbar weiterhin nach vertrauenswürdigen Systemgrenzen, die von herkömmlicher Endpoint-Überwachung nicht vollständig erfasst werden.

Unterdrückte Protokolle erschwerten die Aufklärung

Fire Ant soll Logging und Telemetrie unterdrückt und Zeitstempel von Dateien verändert haben. Dadurch wird es schwieriger zu rekonstruieren, wann Werkzeuge, Tunnel, Persistenzmechanismen und Credential-Artefakte auftauchten. Gleichzeitig sinkt die Verlässlichkeit jener Router- und Authentifizierungsdaten, mit denen Verteidiger normalerweise Umfang und Reihenfolge eines Angriffs bestimmen. 1011

Die Manipulation der Beweisschicht war damit kein Nebeneffekt, sondern ein zentraler Bestandteil der Kampagne. Wer Protokolle und Zeitangaben angreift, erschwert sowohl die Erkennung als auch die Incident Response.

Was Fire Ant dadurch offenlegen konnte

Die kombinierten Zugänge konnten dabei helfen, die Beziehungen zu kartieren und auszunutzen, die ein Netzwerk überhaupt verwaltbar machen:

• Identitäten von Administratoren und privilegierte Zugangsdaten für Netzwerkgeräte.
• Authentifizierungsanfragen, Autorisierungsentscheidungen, Gerätesitzungen und administrative Aktivitäten.
• Verbindungen zwischen Sprunghosts, TACACS-Servern, Routern und verwalteten Geräten.
• Interne Adressbereiche, Routing-Beziehungen, Segmentierungsgrenzen und erreichbare Managementnetze.
• Verbundene Organisationen oder Drittanbieter, deren Umgebungen von der kompromittierten Infrastruktur abhängen.
• Hochwertige Netzwerke, die über Routing-, Authentifizierungs- oder Managementbeziehungen des Opfers erreichbar sind. 10

Das Risiko entsteht dabei kumulativ. Ein Hypervisor-Zugang, ein Linux-Implantat, ein Router-Tunnel und der Zugriff auf TACACS können zunächst wie getrennte Vorfälle wirken. Zusammen bilden sie jedoch eine dauerhafte Zugriffsschicht über mehrere Vertrauensgrenzen hinweg.

Das „Ziel hinter dem Ziel“

Bei einem klassischen Einbruch ist die kompromittierte Organisation meist das eigentliche Ziel. Das Verhalten von Fire Ant lässt laut den vorliegenden Berichten eine andere Möglichkeit erkennen: Die Infrastruktur des Opfers kann vor allem deshalb wertvoll sein, weil sie einen Weg in weitere Umgebungen eröffnet.

Ein Router bietet Weiterleitung und Sichtbarkeit. Ein Authentifizierungsserver kann administrative Zugänge offenlegen oder abfangen. Ein Managementhost stellt einen vertrauenswürdigen Ausgangspunkt bereit. So kann ein Angreifer verbundene Netze untersuchen und wertvollere Ziele identifizieren, ohne sie sofort direkt anzugreifen. Sygnia beschreibt eine Kampagne gegen Infrastruktur, die hochwertige Umgebungen weiterleitet, authentifiziert, verbindet und verwaltet. 1011

Dieses Vorgehen ist besonders schwer einzudämmen, weil die betroffenen Systeme oft als vertrauenswürdige Grundlage und nicht als gewöhnliche Endpunkte behandelt werden.

Überschneidungen mit UNC3886

Sygnia beschreibt deutliche Überschneidungen zwischen Fire Ant und der von Mandiant als UNC3886 bezeichneten China-nahen Spionageaktivität. Dazu zählen dauerhafter Zugriff auf Virtualisierungs- und Netzwerksteuerungsinfrastruktur, maßgeschneiderte Werkzeuge, das Umgehen herkömmlicher Endpoint-Sichtbarkeit und das Interesse an Netzwerkkomponenten. Öffentliche Berichte bringen UNC3886 zudem mit früheren Aktivitäten gegen Juniper-Router und Cisco-orientierte Infrastruktur in Verbindung. 1015

Die verfügbaren Berichte belegen damit eine operative und technische Korrelation, aber nicht zwingend eine öffentlich nachgewiesene Eins-zu-eins-Identität. Die dauerhaftere Verbindung liegt im Vorgehensmodell: Zugriff auf Infrastrukturebene aufrechterhalten – dort, wo Geräte nur begrenzte Endpoint-Telemetrie liefern und eine Kompromittierung Routing, Administration, Identitätsprüfung oder Segmentierung beeinflussen kann.

Warum Betreiber kritischer Infrastruktur aufmerksam sein sollten

Die zitierten Berichte belegen nicht, dass diese konkrete Fire-Ant-Aktivität direkt ein Wasser- oder Abwasserunternehmen kompromittiert hat. Die übergeordnete Sorge ist, dass ein langfristiger Zugriff auf Unternehmens-, Provider- oder Managementinfrastruktur Einblicke oder mögliche Wege in verbundene kritische Umgebungen eröffnen könnte. Sygnia stellt ausdrücklich einen Bezug zu hochwertigen Zielen und kritischer Infrastruktur her. 110

Für Betreiber der Wasser- und Abwasserwirtschaft lautet die Lehre daher nicht, ein isoliertes Betriebsnetz automatisch für sicher zu halten, nur weil die Geschäftssysteme offenbar unangetastet sind. Gemeinsame Identitätsdienste, Fernadministration, Drittanbieterzugänge, Virtualisierungsplattformen und Netzwerkmanagement können indirekte Vertrauenspfade schaffen. Das praktische Risiko entsteht aus der Summe mehrerer Zugänge – nicht unbedingt aus einem einzigen spektakulären Exploit.

Schutzprioritäten für Netzwerkmanagement-Infrastruktur

Managementsysteme wie Tier-0-Assets behandeln

Router, TACACS/RADIUS- und andere AAA-Dienste, Sprunghosts, Virtualisierungsmanagement sowie Monitoring-Plattformen brauchen klare Verantwortlichkeiten und besonderen Schutz. Dazu gehören strikte administrative Trennungen, wo möglich MFA, das Prinzip der geringsten Rechte, schnelle Aktualisierung und eng kontrollierte Zugänge für Anbieter und Dritte. 10

Live-Zustand mit genehmigten Änderungen abgleichen

Vergleichen Sie Router-Schnittstellen, Tunnel, Routen, Forwarding-Zustand, Konfigurations-Commits sowie Software- und Prozessintegrität laufend mit freigegebenen Baselines. GRE-Schnittstellen, Tunnelendpunkte oder Routenänderungen ohne autorisierten Änderungsnachweis sollten einen Alarm auslösen. 910

Administrative Wege segmentieren

Beschränken Sie Geräteadministration und TACACS-Zugriff auf dedizierte Managementnetze. Legen Sie fest, welche Sprunghosts Netzwerkgeräte erreichen dürfen, und reduzieren Sie Vertrauenspfade zwischen Unternehmens-IT, Providerverbindungen sowie Betriebs- und kritischen Umgebungen auf das notwendige Maß. 10

Authentifizierungs-Telemetrie manipulationssicher machen

Leiten Sie TACACS-, Router-, Linux-, Hypervisor- und Netzwerkflussprotokolle an externe Speicher weiter, die unveränderlich oder anderweitig gegen Manipulation geschützt sind. Korrelieren Sie Authentifizierungsanfragen, Autorisierungsergebnisse, Gerätesitzungen und administrative Befehle. Fehlende Telemetrie sowie unerwartete Änderungen an TACACS-Prozessen, Bibliotheken, Sockets oder Logdateien müssen untersucht werden. 10

Beweise vor der Bereinigung sichern

Bei Verdacht auf eine Kompromittierung sollten – soweit möglich – flüchtige Zustände und Speicher, Betriebsdaten der Router, vollständige Konfigurationen und Commit-Historien, Prozesse und Sockets, Dateisystemmetadaten sowie relevante PCAPs gesammelt werden, bevor Geräte neu gestartet oder Artefakte gelöscht werden. Bewahren Sie unabhängige Kopien und Hashes auf – insbesondere dann, wenn Protokolle unterdrückt oder Zeitstempel verändert worden sein könnten. 10

Nach Verhalten statt nur nach Dateinamen suchen

Achten Sie auf nicht autorisierte Monitoring-Agenten, verdächtige TLS-Reverse-Verbindungen von Managementhosts, unerwartete VSOCK/VMCI-Nutzung, die Injektion in TACACS-Prozesse, versteckte Credential-Artefakte und Widersprüche zwischen dem Live-Zustand eines Geräts und der genehmigten Konfigurationshistorie. Solche Verhaltenssignale sind belastbarer als ein einzelner Dateiname oder Indikator. 10

Die zentrale Lehre

Fire Ants Entwicklung lässt sich am besten als Wechsel vom Angriff auf Workloads zum Angriff auf Systeme verstehen, die Vertrauen und Zugriffswege steuern. Die Kombination aus Router-Sichtbarkeit, Authentifizierungsinterception, Linux-Persistenz, verdeckten Tunneln und Anti-Forensik kann vertrauenswürdige Infrastruktur in eine Plattform für Nachrichtengewinnung und die Bewegung in verbundene Umgebungen verwandeln.

Für Verteidiger ist die Schlussfolgerung eindeutig: Netzwerkmanagement ist keine Hintergrundtechnik. Diese Systeme sind Sicherheitsgrenzen, besonders wertvolle Beweisquellen – und möglicherweise der Weg zum nächsten Ziel.