Fire Ant Beralih ke Router: Infrastruktur Tepercaya Menjadi Jalan Menuju Target Berikutnya

Laporan terbaru menunjukkan bahwa Fire Ant—aktor spionase siber yang dikaitkan dengan China—mengubah titik pijak operasinya. Pada 2025, aktivitasnya dikaitkan dengan akses tersembunyi ke lingkungan VMware ESXi dan vCenter. Pada akhir Agustus 2026, laporan menggambarkan kompromi terhadap router Cisco IOS XR, server autentikasi TACACS, dan host manajemen Linux. Sistem-sistem ini berfungsi mengarahkan trafik, memvalidasi administrator, serta menghubungkan lingkungan operasional. 1011

Perubahan ini penting karena satu router atau server autentikasi dapat memberikan visibilitas dan akses yang jauh lebih luas daripada satu mesin virtual. Korban langsung bisa saja hanya menjadi pijakan awal menuju sasaran lain—atau “target di balik target”.

Dari hypervisor ke pusat kendali jaringan

Aktivitas Fire Ant sebelumnya berfokus pada infrastruktur virtualisasi yang dapat memberikan persistensi dan akses ke berbagai beban kerja. Menurut laporan Sygnia, operasi berikutnya menargetkan infrastruktur tepercaya: perangkat jaringan, layanan autentikasi, dan host manajemen. 10

Titik-titik ini sangat bernilai bagi penyerang. Router yang telah disusupi dapat mengamati dan meneruskan trafik. Server TACACS berada di jalur autentikasi administratif. Sementara itu, host manajemen atau jump host dapat menjadi jembatan menuju segmen jaringan yang semula terpisah. Jika digabungkan, akses tersebut dapat memperlihatkan hubungan antara administrator, perangkat, jaringan, dan organisasi yang saling terhubung. 1011

Bagaimana operasi tersebut berjalan

Tunnel GRE yang tidak dapat dijelaskan menjadi jalur pivot

Penyelidik menemukan antarmuka tunnel GRE yang aktif pada router Cisco IOS XR, tetapi tidak menemukan penjelasan dalam konfigurasi berjalan maupun riwayat commit. GRE (Generic Routing Encapsulation) membungkus satu protokol ke dalam paket IP lain untuk menghubungkan dua titik tunnel. Karena itu, tunnel yang tidak sah dapat menciptakan jalur tersembunyi untuk meneruskan trafik atau berpindah ke lingkungan lain. 39

Tunnel yang tidak tercatat tidak otomatis membuktikan kompromi. Namun, perbedaan antara kondisi perangkat yang aktif dan jejak audit normal merupakan anomali serius yang perlu segera diperiksa.

BridgeAgent menyamar sebagai perangkat lunak pemantauan

Pada sistem manajemen Linux lama, Fire Ant dilaporkan memasang BridgeAgent yang menyamar sebagai agen pemantauan Zabbix. Implan ini mendukung komunikasi shell balik yang terenkripsi TLS, sehingga akses operator dapat terlihat seperti aktivitas manajemen yang sah. 1012

Host manajemen menjadi pijakan yang sangat strategis karena biasanya sudah dipercaya untuk mengakses router, layanan autentikasi, sistem pemantauan, atau segmen terbatas lainnya.

Router dijadikan platform pengumpulan dan relay

Router IOS XR yang telah disusupi dapat digunakan untuk menangkap trafik, menyiapkan packet capture, dan mengeluarkan data PCAP. Visibilitas di tingkat router dapat mengungkap sistem yang saling berkomunikasi, protokol, rentang alamat, hubungan routing, serta—jika trafik tidak terlindungi dengan baik—data sensitif atau kredensial. 1011

Dengan demikian, router tidak hanya berfungsi sebagai tempat bertahan. Perangkat tersebut menjadi titik pengamatan di dalam “jaringan penghubung”, sekaligus memberi penyerang jangkauan dan peluang untuk menyamarkan aktivitas berbahaya sebagai operasi jaringan biasa.

TacTap menyasar titik penghubung autentikasi

Fire Ant juga menargetkan infrastruktur TACACS, bukan hanya mencuri kredensial dari endpoint individu. Sygnia mengidentifikasi perangkat bantu bernama TacTap yang menyisipkan pustaka ke proses tac_plus, mengaitkan sesi TACACS yang diterima, lalu meneruskan file descriptor sesi aktif ke Unix socket lokal. Perangkat bantu itu juga membuat artefak kredensial yang disamarkan dengan XOR di /var/log/.tacplus.acct. 10

Server TACACS dapat memperlihatkan jalur administratif perangkat jaringan: administrator yang melakukan autentikasi, perangkat yang meminta otorisasi, waktu sesi berlangsung, dan kemungkinan materi kredensial yang diproses layanan tersebut. Kompromi di lapisan ini dapat merusak kontrol akses sekaligus mengurangi kepercayaan terhadap catatan audit.

Backdoor tambahan memperpanjang akses tersembunyi

Penyelidik juga menemukan backdoor /var/tmp/audit pada sistem TACACS yang menggunakan antarmuka VMware VSOCK/VMCI. Jalur komunikasi yang berorientasi pada hubungan guest-host ini mungkin tidak terlihat seperti login jaringan biasa dari dalam guest Linux, sehingga memperluas teknik Fire Ant yang sebelumnya berdekatan dengan lingkungan virtualisasi. 10

Penghapusan log dan perubahan waktu file mengaburkan bukti

Fire Ant dilaporkan menekan pencatatan dan telemetri serta mengubah penanda waktu file. Tindakan tersebut menyulitkan penyelidik untuk menentukan kapan tunnel, alat, mekanisme persistensi, dan artefak kredensial muncul. Kepercayaan terhadap catatan router dan autentikasi yang biasanya digunakan untuk menyusun urutan serangan juga ikut menurun. 1011

Manipulasi ini bukan sekadar upaya menutupi jejak setelah serangan. Dengan menyerang lapisan bukti, aktor tersebut membuat deteksi dan respons insiden menjadi kurang andal.

Informasi apa yang dapat terbuka?

Gabungan akses tersebut berpotensi membantu Fire Ant memetakan dan mengeksploitasi hubungan yang membuat sebuah jaringan dapat dikelola, termasuk:

• Identitas administrator dan kredensial perangkat jaringan yang memiliki hak istimewa.
• Permintaan autentikasi, keputusan otorisasi, sesi perangkat, serta aktivitas administratif.
• Keterkaitan antara jump host, server TACACS, router, dan perangkat yang dikelola.
• Rentang alamat internal, hubungan routing, batas segmentasi, serta jaringan manajemen yang dapat dijangkau.
• Organisasi atau pihak ketiga yang terhubung dan bergantung pada infrastruktur korban.
• Lingkungan bernilai tinggi yang dapat diakses melalui hubungan routing, autentikasi, atau manajemen operasional korban. 10

Risikonya bersifat kumulatif. Akses ke hypervisor, implan di host Linux, tunnel pada router, dan kendali atas TACACS mungkin tampak sebagai insiden terpisah. Jika digabungkan, semuanya dapat membentuk lapisan akses yang bertahan lama di berbagai batas kepercayaan.

Mengapa disebut “target di balik target”?

Dalam serangan konvensional, organisasi yang disusupi sering menjadi sasaran utama. Namun, perilaku Fire Ant yang dilaporkan menunjukkan kemungkinan lain: infrastruktur korban bernilai karena dapat menjadi jalan menuju lingkungan lain.

Router menyediakan visibilitas dan transit. Server autentikasi dapat mengungkap atau mencegat akses administratif. Host manajemen menawarkan titik peluncuran yang sudah dipercaya. Dengan cara ini, penyerang dapat mempelajari jaringan yang terhubung dan mencari sasaran bernilai lebih tinggi tanpa harus langsung menyerangnya. Sygnia menyebut infrastruktur yang disasar sebagai sistem yang merutekan, mengautentikasi, menghubungkan, dan mengelola lingkungan bernilai tinggi. 1011

Model ini sulit ditangani karena perangkat yang terkena dampak sering dianggap sebagai fondasi tepercaya, bukan endpoint biasa.

Kaitan dengan UNC3886

Sygnia melaporkan adanya tumpang tindih kuat antara Fire Ant dan aktivitas yang dilacak Mandiant sebagai UNC3886, kelompok spionase yang dikaitkan dengan China. Kesamaannya mencakup akses persisten ke infrastruktur virtualisasi dan kendali jaringan, penggunaan perangkat bantu khusus, penghindaran dari pemantauan endpoint konvensional, serta minat terhadap perangkat jaringan. Laporan publik juga mengaitkan UNC3886 dengan aktivitas sebelumnya terhadap router Juniper dan infrastruktur yang berorientasi pada Cisco. 1015

Meski demikian, bukti yang tersedia mendukung korelasi operasional dan perangkat, bukan pembuktian publik bahwa keduanya merupakan identitas yang persis sama. Peringatan yang lebih penting terletak pada model operasinya: mempertahankan akses di lapisan infrastruktur, tempat telemetri endpoint sering terbatas dan kompromi dapat memengaruhi routing, administrasi, validasi identitas, serta segmentasi. 10

Mengapa operator infrastruktur kritis perlu waspada

Laporan yang dikutip belum membuktikan bahwa aktivitas Fire Ant ini secara langsung mengompromikan utilitas air atau air limbah tertentu. Kekhawatirannya lebih luas: akses jangka panjang ke infrastruktur perusahaan, penyedia layanan, atau sistem manajemen dapat memberi peluang untuk mengamati atau menjangkau lingkungan kritis yang terhubung. Sygnia secara eksplisit membahas risiko terhadap lingkungan bernilai tinggi dan infrastruktur kritis. 110

Pelajarannya bagi operator air dan air limbah bukanlah bahwa jaringan operasional otomatis aman hanya karena sistem bisnis terlihat tidak tersentuh. Layanan identitas bersama, administrasi jarak jauh, koneksi pihak ketiga, platform virtualisasi, dan infrastruktur manajemen jaringan dapat menciptakan jalur kepercayaan tidak langsung.

Risiko utama berasal dari tumpukan pijakan yang terkumpul, bukan dari satu eksploit spektakuler.

Prioritas pertahanan untuk infrastruktur manajemen jaringan

Perlakukan sistem manajemen sebagai aset Tier 0

Berikan kepemilikan dan perlindungan khusus untuk router, layanan TACACS/RADIUS dan AAA lainnya, jump host, manajemen virtualisasi, serta platform pemantauan. Terapkan batas administratif yang ketat, autentikasi multifaktor jika didukung, hak akses minimum, penambalan cepat, dan kontrol ketat terhadap akses vendor maupun pihak ketiga. 10

Cocokkan kondisi perangkat dengan perubahan yang disetujui

Bandingkan secara berkelanjutan antarmuka, tunnel, rute, status penerusan paket, commit konfigurasi, serta integritas perangkat lunak dan proses router dengan baseline yang disetujui. Beri peringatan untuk antarmuka GRE, endpoint tunnel, atau perubahan rute yang tidak memiliki catatan perubahan resmi. 910

Segmentasikan jalur administratif

Batasi administrasi perangkat dan akses TACACS ke jaringan manajemen khusus. Kendalikan jump host mana yang boleh menjangkau perangkat jaringan, serta minimalkan jalur kepercayaan antara TI perusahaan, koneksi penyedia layanan, dan lingkungan operasional atau kritis. 10

Buat telemetri autentikasi tahan manipulasi

Kirim log TACACS, router, Linux, hypervisor, dan aliran jaringan ke penyimpanan di luar host yang bersifat tidak mudah diubah. Korelasikan permintaan autentikasi, hasil otorisasi, sesi perangkat, dan perintah administratif. Selidiki telemetri yang hilang serta perubahan tak wajar pada proses, pustaka, socket, atau file log TACACS. 10

Amankan bukti sebelum melakukan remediasi

Jika kompromi dicurigai, kumpulkan kondisi volatil dan memori bila memungkinkan, data operasional router, konfigurasi lengkap beserta riwayat commit, informasi proses dan socket, metadata sistem file, serta PCAP yang relevan sebelum me-restart perangkat atau menghapus artefak. Simpan salinan independen dan nilai hash, terutama jika ada indikasi log ditekan atau penanda waktu diubah. 10

Cari perilaku, bukan hanya nama file

Perhatikan binari agen pemantauan yang tidak sah, koneksi shell balik TLS yang mencurigakan dari host manajemen, penggunaan VSOCK/VMCI yang tidak terduga, injeksi ke proses TACACS, artefak kredensial tersembunyi, serta ketidaksesuaian antara kondisi perangkat aktif dan riwayat konfigurasi yang disetujui. Sinyal perilaku semacam ini lebih tahan terhadap perubahan dibandingkan satu nama file atau indikator kompromi tertentu. 10

Pelajaran utamanya

Evolusi Fire Ant paling tepat dipahami sebagai pergeseran dari kompromi terhadap beban kerja menuju kompromi terhadap sistem yang mengatur kepercayaan. Kombinasi visibilitas router, penyadapan autentikasi, persistensi Linux, tunnel tersembunyi, dan teknik anti-forensik dapat mengubah infrastruktur tepercaya menjadi platform pengumpulan intelijen sekaligus jalan menuju lingkungan yang saling terhubung.

Bagi defender, pesannya jelas: infrastruktur manajemen jaringan bukan sekadar “pipa” di latar belakang. Ia adalah batas keamanan, sumber bukti bernilai tinggi, dan berpotensi menjadi jalur menuju target berikutnya.