Fire Ant s’attaque à l’infrastructure de confiance pour viser « la cible derrière la cible »

La campagne attribuée à Fire Ant illustre un déplacement stratégique dans la pile d’infrastructure. En 2025, cet acteur lié à la Chine était associé à des accès furtifs aux environnements VMware ESXi et vCenter. Fin août 2026, les investigations ont décrit des compromissions de routeurs Cisco IOS XR, de serveurs d’authentification TACACS et d’hôtes Linux d’administration : des systèmes qui acheminent le trafic, valident les administrateurs et relient différents environnements opérationnels. 1011

Cette évolution est importante, car ces équipements peuvent offrir une visibilité et une capacité d’accès bien supérieures à celles d’une seule machine virtuelle ou d’un poste de travail. La victime immédiate peut n’être que le premier point d’appui d’une opération plus vaste : la « cible derrière la cible ».

Des hyperviseurs au plan de contrôle

Les premières activités de Fire Ant sur VMware visaient une infrastructure de virtualisation susceptible d’assurer une persistance et un accès à plusieurs charges hébergées. Les travaux ultérieurs de Sygnia décrivent une campagne centrée sur des composants de confiance : équipements réseau, services d’authentification et hôtes d’administration. 10

Ce choix offre un point de collecte particulièrement puissant. Un routeur compromis peut observer et relayer le trafic. Un serveur TACACS se trouve sur le chemin de l’authentification administrative. Un serveur de rebond ou d’administration peut servir de passerelle vers des systèmes normalement séparés. Ensemble, ces accès peuvent révéler les relations entre administrateurs, équipements, réseaux et organisations connectées. 1011

Comment l’opération aurait fonctionné

Un tunnel GRE inexpliqué comme point de pivot

Les enquêteurs ont découvert une interface GRE active sur un routeur Cisco IOS XR, sans explication dans la configuration en cours ni dans l’historique des validations. Le protocole GRE encapsule normalement un protocole dans un paquet IP externe entre deux extrémités de tunnel. Un tunnel non autorisé peut donc créer un chemin dissimulé ou une fonction de relais. 39

Cette anomalie ne signifie pas que tout tunnel inexpliqué prouve une compromission. Elle est toutefois préoccupante lorsque l’état réel de l’équipement ne correspond pas à la piste d’audit habituelle. Elle peut signaler une activité exécutée en dehors des procédures normales de configuration et doit déclencher une investigation immédiate.

BridgeAgent déguisé en logiciel de supervision

Sur un ancien système Linux d’administration, Fire Ant aurait installé BridgeAgent en le présentant comme un agent de supervision Zabbix. L’implant prenait en charge des communications par shell inversé chiffrées en TLS, permettant aux opérateurs de conserver un accès au moyen d’un trafic susceptible de ressembler à des échanges légitimes de gestion. 1012

Un hôte d’administration est une cible de choix pour servir de relais. Il dispose souvent déjà de droits lui permettant d’atteindre des routeurs, des services d’authentification, des outils de supervision ou des segments restreints.

Le routeur transformé en plateforme de collecte

Le routeur IOS XR compromis pouvait servir à intercepter du trafic, préparer des captures de paquets et exfiltrer des fichiers PCAP. Une observation au niveau du routeur peut révéler les systèmes qui communiquent, les protocoles utilisés, les plages d’adresses, les relations de routage et, lorsque les échanges sont insuffisamment protégés, des données sensibles ou des identifiants. 1011

Le routeur ne servait donc pas uniquement à maintenir la persistance. Il devenait un poste d’observation au cœur du réseau, capable de fournir à la fois du renseignement et de la portée, tout en se fondant potentiellement dans les opérations réseau ordinaires.

TacTap au niveau du point de contrôle de l’authentification

Fire Ant aurait également compromis l’infrastructure TACACS, au lieu de dépendre uniquement d’identifiants volés sur des postes individuels. Sygnia décrit un outil baptisé TacTap qui injectait une bibliothèque dans le processus tac_plus, interceptait les sessions TACACS acceptées et transmettait les descripteurs de fichiers de session actifs à un socket Unix local. L’outil créait aussi un artefact d’identifiants obfusqué par XOR à l’emplacement /var/log/.tacplus.acct. 10

Un serveur TACACS peut exposer le parcours administratif des équipements réseau : administrateurs qui s’authentifient, équipements qui demandent une autorisation, horaires des sessions et, potentiellement, éléments d’authentification traités par le service. Une compromission à ce niveau peut fragiliser à la fois le contrôle des accès et la fiabilité des journaux d’audit.

Des portes dérobées supplémentaires

Les enquêteurs ont identifié une porte dérobée /var/tmp/audit sur le système TACACS, utilisant les interfaces VMware VSOCK/VMCI. Ces canaux conçus pour des communications entre invité et hôte peuvent ne pas apparaître comme des connexions réseau ordinaires depuis le système Linux invité, offrant une autre méthode de communication discrète. 10

Cette technique rappelle l’intérêt plus ancien de Fire Ant pour les infrastructures proches de la virtualisation. L’acteur semble continuer à rechercher des frontières de confiance que la surveillance classique des terminaux ne couvre pas nécessairement.

La suppression des journaux a attaqué la couche de preuve

Fire Ant aurait supprimé des journaux et des éléments de télémétrie, tout en modifiant les horodatages de fichiers. Ces actions compliquent la reconstitution de la chronologie : elles rendent plus difficile l’identification du moment où les outils, tunnels, mécanismes de persistance et artefacts d’identifiants sont apparus. Elles réduisent aussi la confiance que les défenseurs peuvent accorder aux traces laissées par les routeurs et les services d’authentification. 1011

Il ne s’agit pas d’un détail secondaire de la campagne. En s’attaquant à la couche de preuve, l’acteur a rendu la détection et la réponse à incident moins fiables.

Ce que ces accès pouvaient exposer

La combinaison de ces points d’appui pouvait aider Fire Ant à cartographier et exploiter les relations qui rendent un réseau administrable :

• les identités des administrateurs et les identifiants privilégiés des équipements réseau ;
• les demandes d’authentification, décisions d’autorisation, sessions sur les équipements et activités administratives ;
• les liens entre serveurs de rebond, serveurs TACACS, routeurs et équipements gérés ;
• les plages d’adresses internes, relations de routage, frontières de segmentation et réseaux d’administration accessibles ;
• les organisations ou tiers connectés dont l’environnement dépend de l’infrastructure compromise ;
• les réseaux de grande valeur accessibles grâce aux relations de routage, d’authentification ou de gestion opérationnelle de la victime. 10

Le risque est cumulatif. Une présence sur un hyperviseur, un implant Linux, un tunnel sur un routeur et un accès au TACACS peuvent sembler relever de plusieurs incidents distincts. Ensemble, ils forment une couche d’accès persistante traversant plusieurs frontières de confiance.

« La cible derrière la cible »

Dans une intrusion classique, l’organisation compromise est souvent l’objectif principal. Le comportement décrit pour Fire Ant suggère une autre logique : l’infrastructure de la victime peut être intéressante surtout parce qu’elle ouvre une voie vers d’autres environnements.

Un routeur fournit visibilité et transit. Un serveur d’authentification peut révéler, voire intercepter, des accès administratifs. Un hôte d’administration peut constituer un point de lancement approuvé. L’attaquant peut ainsi étudier les réseaux connectés et repérer des cibles de plus grande valeur sans les attaquer immédiatement de front. Sygnia décrit une campagne visant des infrastructures qui acheminent, authentifient, connectent et administrent des environnements sensibles. 1011

Ce modèle est particulièrement difficile à contenir, car les systèmes concernés sont souvent considérés comme des fondations de confiance plutôt que comme des terminaux ordinaires.

Des recoupements avec UNC3886

Sygnia a relevé de forts recoupements entre Fire Ant et l’activité liée à la Chine suivie par Mandiant sous le nom d’UNC3886. Parmi les points communs figurent la persistance dans des infrastructures de virtualisation et de contrôle réseau, l’usage d’outils personnalisés, le contournement de la visibilité offerte par les solutions de sécurité des terminaux et l’intérêt pour les équipements réseau. Des sources publiques associent également UNC3886 à des activités antérieures visant des routeurs Juniper et des infrastructures Cisco. 1015

Les informations disponibles étayent une corrélation opérationnelle et technique, mais pas nécessairement une identité unique démontrée publiquement. Le lien le plus solide concerne le mode opératoire : maintenir un accès au niveau de l’infrastructure, là où la télémétrie des terminaux est souvent limitée et où une compromission peut influencer le routage, l’administration, la validation des identités ou la segmentation.

Pourquoi les opérateurs d’infrastructures critiques doivent y prêter attention

Les sources citées n’établissent pas que cette activité précise de Fire Ant a directement compromis une entreprise de distribution d’eau ou d’assainissement. L’inquiétude est plus large : un accès durable à une infrastructure d’entreprise, de fournisseur de services ou d’administration pourrait offrir une capacité d’observation ou des chemins potentiels vers des environnements critiques connectés. Le rapport de Sygnia évoque explicitement les enjeux liés aux environnements de grande valeur et aux infrastructures critiques. 110

Pour les organisations du secteur de l’eau et de l’assainissement, la leçon est de ne pas considérer un réseau opérationnel isolé comme automatiquement sûr parce que les systèmes bureautiques semblent intacts. Services d’identité partagés, administration à distance, connexions de tiers, plateformes de virtualisation et outils de gestion réseau peuvent créer des chemins de confiance indirects. Le danger vient de l’accumulation des accès, davantage que d’un exploit spectaculaire unique.

Les priorités défensives

Traiter les systèmes d’administration comme des actifs Tier 0

Attribuez une responsabilité dédiée et une protection renforcée aux routeurs, services TACACS/RADIUS et autres services AAA — pour l’authentification, l’autorisation et la comptabilisation — ainsi qu’aux serveurs de rebond, à la gestion de la virtualisation et aux plateformes de supervision. Appliquez des frontières administratives strictes, l’authentification multifacteur lorsqu’elle est prise en charge, le moindre privilège, des correctifs rapides et un contrôle étroit des accès des fournisseurs et des tiers. 10

Comparer en continu l’état réel aux changements approuvés

Comparez régulièrement les interfaces, tunnels, routes, états de transfert, validations de configuration et éléments logiciels ou processus des routeurs avec des références approuvées. Déclenchez une alerte lorsqu’une interface GRE, une extrémité de tunnel ou une modification de route ne correspond à aucun changement autorisé. 910

Segmenter les chemins d’administration

Réservez l’administration des équipements et l’accès à TACACS à des réseaux de gestion dédiés. Limitez les serveurs de rebond capables d’atteindre les équipements réseau et réduisez les chemins de confiance entre l’informatique d’entreprise, les liaisons de fournisseurs de services et les environnements opérationnels ou critiques. 10

Rendre la télémétrie d’authentification résistante aux manipulations

Transférez les journaux TACACS, routeurs, Linux, hyperviseurs et flux réseau vers un stockage externe immuable ou, à défaut, difficile à altérer. Corrélez demandes d’authentification, décisions d’autorisation, sessions sur les équipements et commandes administratives. Examinez toute disparition de télémétrie ainsi que les changements inattendus touchant les processus, bibliothèques, sockets ou fichiers journaux TACACS. 10

Préserver les preuves avant de remédier

En cas de compromission suspectée, recueillez si possible l’état volatil et la mémoire, les données opérationnelles des routeurs, les configurations complètes et leur historique, les processus et sockets, les métadonnées du système de fichiers ainsi que les PCAP pertinents avant de redémarrer les équipements ou de supprimer les artefacts. Conservez des copies indépendantes et leurs empreintes, en particulier lorsque des suppressions de journaux ou des manipulations d’horodatage sont suspectées. 10

Rechercher les comportements plutôt que les seuls noms de fichiers

Surveillez les binaires d’agents de supervision non autorisés, les connexions TLS inversées suspectes depuis des hôtes d’administration, l’utilisation inattendue de VSOCK/VMCI, l’injection dans le processus TACACS, les artefacts d’identifiants dissimulés et les écarts entre l’état réel des équipements et l’historique de configuration approuvé. Ces signaux comportementaux résistent mieux au changement d’un nom de fichier ou d’un indicateur isolé. 10

La leçon centrale

L’évolution de Fire Ant correspond moins au passage d’un logiciel à un autre qu’à un changement de niveau : l’acteur ne cherche plus seulement à compromettre des charges de travail, mais les systèmes qui organisent la confiance.

La combinaison rapportée — visibilité depuis les routeurs, interception de l’authentification, persistance Linux, tunnels discrets et techniques d’anti-forensique — peut transformer une infrastructure de confiance en plateforme de collecte de renseignement et de progression vers des environnements connectés.

Pour les défenseurs, le message est clair : l’infrastructure de gestion réseau n’est pas une simple tuyauterie technique. C’est une frontière de sécurité, une source de preuves essentielle et, potentiellement, le chemin vers la prochaine cible.