Fire Ant sposta lo spionaggio nel cuore dell’infrastruttura di rete

La campagna attribuita a Fire Ant mostra un cambio di livello nello spionaggio informatico: dal controllo dei carichi di lavoro virtualizzati al controllo dei sistemi che regolano la rete, l’autenticazione e l’amministrazione.

Nel 2025 il gruppo legato alla Cina era stato associato ad accessi furtivi ad ambienti VMware ESXi e vCenter. Nell’agosto 2026, le analisi pubblicate hanno descritto compromissioni di router Cisco IOS XR, server TACACS e host Linux utilizzati per la gestione. Sono sistemi che instradano il traffico, verificano l’identità degli amministratori e collegano ambienti operativi diversi. 1011

Il punto non è soltanto la compromissione della singola organizzazione. Questi apparati possono diventare una piattaforma di osservazione e un ponte verso altri ambienti: il cosiddetto “bersaglio dietro il bersaglio”.

Dai sistemi VMware al piano di controllo della rete

Le attività precedenti di Fire Ant si concentravano sull’infrastruttura di virtualizzazione, capace di offrire persistenza e accesso ai carichi di lavoro ospitati. La fase successiva, secondo Sygnia, ha spostato il baricentro verso l’infrastruttura considerata affidabile: dispositivi di rete, servizi di autenticazione e host di gestione. 10

È un punto di raccolta molto più potente rispetto a un singolo endpoint. Un router compromesso può osservare e inoltrare il traffico; un server TACACS si trova nel percorso attraverso cui gli amministratori vengono autenticati; un jump host o un server di gestione può fare da collegamento tra segmenti normalmente separati. Insieme, questi accessi permettono di ricostruire i rapporti tra amministratori, dispositivi, reti e organizzazioni collegate. 1011

Come sarebbe stata condotta l’operazione

Un’interfaccia GRE senza spiegazione poteva offrire un punto di passaggio

Gli investigatori hanno trovato attiva un’interfaccia GRE su un router Cisco IOS XR, senza una corrispondente voce nella configurazione in esecuzione o nella cronologia dei commit. GRE, acronimo di Generic Routing Encapsulation, incapsula un protocollo dentro un pacchetto IP esterno per trasportarlo tra due estremità del tunnel. Un tunnel non autorizzato può quindi creare un percorso o un canale di inoltro nascosto. 39

La discrepanza non dimostra automaticamente una compromissione: un’interfaccia anomala può avere anche spiegazioni operative. Tuttavia, quando lo stato effettivo del dispositivo non coincide con il normale percorso di audit, l’evento richiede un’indagine immediata. Potrebbe indicare attività svolte al di fuori dei flussi di modifica autorizzati.

BridgeAgent si presentava come software di monitoraggio

Su un sistema Linux legacy destinato alla gestione, Fire Ant avrebbe installato BridgeAgent facendolo apparire come un agente di monitoraggio Zabbix. Secondo le analisi disponibili, l’impianto supportava comunicazioni reverse shell cifrate con TLS, consentendo agli operatori di mantenere l’accesso attraverso traffico potenzialmente simile a quello prodotto da strumenti amministrativi legittimi. 1012

Un host di gestione è particolarmente prezioso come punto di appoggio. Spesso dispone già di autorizzazioni per raggiungere router, servizi di autenticazione, sistemi di monitoraggio o segmenti riservati.

Il router è diventato una piattaforma di raccolta e inoltro

Il router IOS XR compromesso poteva essere impiegato per catturare traffico, preparare acquisizioni di pacchetti ed esfiltrare dati PCAP. L’osservazione a livello di router può rivelare quali sistemi comunicano, quali protocolli vengono utilizzati, quali intervalli di indirizzi sono presenti e come sono organizzate le relazioni di instradamento. Se le comunicazioni non sono adeguatamente protette, può inoltre esporre dati sensibili o credenziali. 1011

Il dispositivo non serviva quindi soltanto a mantenere la persistenza. Diventava un punto di osservazione nel tessuto connettivo della rete, capace di fornire informazioni e raggiungibilità, mentre l’attività malevola poteva confondersi con le normali operazioni di rete.

TacTap ha colpito il punto di controllo dell’autenticazione

Fire Ant avrebbe compromesso direttamente l’infrastruttura TACACS, invece di limitarsi a sottrarre credenziali dai singoli endpoint. Sygnia ha descritto uno strumento denominato TacTap che iniettava una libreria nel processo tac_plus, intercettava le sessioni TACACS accettate e trasferiva i descrittori delle sessioni attive a un socket Unix locale. Lo strumento creava inoltre un artefatto di credenziali offuscato con XOR in /var/log/.tacplus.acct. 10

Un server TACACS può mostrare l’intero percorso amministrativo dei dispositivi di rete: quali amministratori si autenticano, quali apparati richiedono autorizzazione, quando si svolgono le sessioni e, potenzialmente, quali materiali relativi alle credenziali vengono gestiti dal servizio. Una compromissione a questo livello può indebolire sia il controllo degli accessi sia l’affidabilità dei registri di audit.

Un ulteriore backdoor sfruttava canali legati alla virtualizzazione

Gli investigatori hanno individuato anche un backdoor /var/tmp/audit sul sistema TACACS, basato sulle interfacce VMware VSOCK/VMCI. Questi canali, orientati alla comunicazione tra guest e host, potrebbero non apparire come normali accessi di rete osservabili dall’interno del guest Linux. 10

La tecnica richiama l’interesse già mostrato da Fire Ant per l’infrastruttura adiacente alla virtualizzazione: il gruppo sembra cercare confini di fiducia che il monitoraggio tradizionale degli endpoint potrebbe non coprire pienamente.

La manipolazione dei log ha indebolito il livello delle prove

Secondo Sygnia, Fire Ant ha soppresso log e telemetria e ha modificato i timestamp dei file. Queste azioni rendono più difficile stabilire quando siano comparsi strumenti, tunnel, meccanismi di persistenza e artefatti legati alle credenziali. Riducono inoltre l’affidabilità dei registri dei router e dei sistemi di autenticazione usati per ricostruire portata e sequenza dell’intrusione. 1011

L’attacco al livello delle prove non è un dettaglio secondario. Riducendo la qualità della telemetria, l’attore ha reso meno affidabili sia il rilevamento sia la risposta all’incidente.

Che cosa poteva essere esposto

La combinazione degli accessi avrebbe potuto aiutare Fire Ant a mappare e sfruttare le relazioni che rendono amministrabile una rete, tra cui:

• identità degli amministratori e credenziali privilegiate dei dispositivi di rete;
• richieste di autenticazione, decisioni di autorizzazione, sessioni sui dispositivi e attività amministrative;
• collegamenti tra jump host, server TACACS, router e apparati gestiti;
• intervalli di indirizzi interni, relazioni di routing, confini di segmentazione e reti di gestione raggiungibili;
• organizzazioni o fornitori terzi collegati all’infrastruttura compromessa;
• reti ad alto valore raggiungibili attraverso le relazioni di routing, autenticazione o gestione operativa della vittima. 10

Il rischio è cumulativo. Un accesso all’hypervisor, un impianto su un host Linux, un tunnel sul router e la compromissione di TACACS possono sembrare incidenti separati. Insieme, però, formano uno strato di accesso persistente attraverso più confini di fiducia.

Perché si parla di “bersaglio dietro il bersaglio”

In un’intrusione convenzionale, l’organizzazione compromessa è spesso l’obiettivo principale. Il comportamento attribuito a Fire Ant suggerisce un’altra possibilità: l’infrastruttura della vittima può essere preziosa soprattutto perché offre una strada verso altri ambienti.

Un router fornisce transito e visibilità. Un server di autenticazione può rivelare o intercettare l’accesso degli amministratori. Un host di gestione può diventare un punto di lancio considerato affidabile. In questo modo l’attore può studiare le reti collegate e individuare obiettivi di maggiore valore senza attaccarli subito in modo diretto. Sygnia ha descritto una campagna rivolta a infrastrutture che instradano, autenticano, collegano e gestiscono ambienti ad alto valore. 1011

Questo modello è difficile da contenere perché i sistemi coinvolti vengono spesso trattati come fondamenta tecniche affidabili, non come normali endpoint.

Il legame con UNC3886

Sygnia ha descritto una forte sovrapposizione tra Fire Ant e l’attività legata alla Cina monitorata da Mandiant con il nome UNC3886. Gli elementi comuni comprendono l’accesso persistente a infrastrutture di virtualizzazione e controllo della rete, l’uso di strumenti personalizzati, l’elusione della visibilità tipica degli endpoint e l’interesse per gli apparati di networking. I resoconti pubblici collegano inoltre UNC3886 a precedenti operazioni contro router Juniper e infrastrutture orientate a Cisco. 1015

Le informazioni disponibili sostengono una correlazione operativa e negli strumenti, non necessariamente un’identità unica dimostrata pubblicamente. Il collegamento più importante riguarda il modello: mantenere l’accesso al livello dell’infrastruttura, dove la telemetria degli endpoint può essere limitata e dove una compromissione può influenzare routing, amministrazione, verifica dell’identità e segmentazione.

Perché la questione riguarda anche le infrastrutture critiche

Le fonti citate non dimostrano che questa specifica attività di Fire Ant abbia compromesso direttamente un gestore del servizio idrico o delle acque reflue. La preoccupazione è più ampia: un accesso duraturo a infrastrutture aziendali, di fornitori di servizi o di gestione potrebbe offrire osservazione o possibili percorsi verso ambienti critici collegati. Sygnia ha discusso esplicitamente dei rischi per reti ad alto valore e infrastrutture critiche. 110

Per gli operatori del settore idrico, la lezione è non considerare automaticamente sicura una rete operativa isolata solo perché i sistemi aziendali sembrano intatti. Servizi di identità condivisi, amministrazione remota, collegamenti con fornitori terzi, piattaforme di virtualizzazione e sistemi di gestione della rete possono creare percorsi di fiducia indiretti.

Il pericolo nasce dall’accumulo degli accessi, non necessariamente da un singolo exploit spettacolare.

Le priorità difensive

Considerare i sistemi di gestione come risorse Tier 0

Router, servizi TACACS/RADIUS e altri sistemi AAA, jump host, gestione della virtualizzazione e piattaforme di monitoraggio devono avere responsabilità dedicate e protezioni rafforzate. Servono confini amministrativi rigidi, autenticazione multifattore quando supportata, principio del privilegio minimo, applicazione tempestiva delle patch e controllo stretto degli accessi di fornitori e terze parti. 10

Confrontare continuamente lo stato reale con le modifiche approvate

È necessario verificare in modo continuo interfacce, tunnel, rotte, stato di forwarding, commit di configurazione e integrità di software e processi rispetto a baseline approvate. Interfacce GRE, endpoint di tunnel o cambiamenti nelle rotte privi di un record autorizzato devono generare un allarme. 910

Segmentare i percorsi amministrativi

L’amministrazione dei dispositivi e l’accesso a TACACS dovrebbero essere limitati a reti di gestione dedicate. Occorre restringere quali jump host possono raggiungere gli apparati e ridurre al minimo i percorsi di fiducia tra IT aziendale, collegamenti dei service provider e ambienti operativi o critici. 10

Rendere la telemetria dell’autenticazione resistente alle manomissioni

I log TACACS, dei router, dei sistemi Linux, degli hypervisor e dei flussi di rete dovrebbero essere inviati fuori dall’host, verso sistemi immutabili o comunque resistenti alla manipolazione. È importante correlare richieste di autenticazione, esiti delle autorizzazioni, sessioni sui dispositivi e comandi amministrativi.

La perdita improvvisa di telemetria e le modifiche inattese a processi, librerie, socket o file di log TACACS devono essere trattate come segnali di possibile intrusione. 10

Conservare le prove prima della bonifica

In caso di sospetta compromissione, prima di riavviare i dispositivi o cancellare gli artefatti è opportuno raccogliere, quando possibile, lo stato volatile e la memoria, i dati operativi dei router, le configurazioni complete e la cronologia dei commit, le informazioni su processi e socket, i metadati del file system e i PCAP rilevanti.

Le copie indipendenti e i relativi hash devono essere preservati con particolare attenzione quando l’attività sospetta comprende soppressione dei log o modifica dei timestamp. 10

Cercare i comportamenti, non soltanto i nomi dei file

Le attività di hunting dovrebbero includere agenti di monitoraggio non autorizzati, connessioni reverse TLS sospette provenienti dagli host di gestione, uso imprevisto di VSOCK/VMCI, iniezione nel processo TACACS, artefatti nascosti relativi alle credenziali e differenze tra lo stato reale dei dispositivi e la cronologia delle configurazioni approvate. I segnali comportamentali sono più resistenti dei singoli nomi di file o indicatori. 10

La lezione centrale

L’evoluzione di Fire Ant può essere letta come il passaggio dalla compromissione dei carichi di lavoro alla compromissione dei sistemi che governano la fiducia. Router, autenticazione, persistenza Linux, tunnel nascosti e tecniche anti-forensi possono trasformare un’infrastruttura considerata affidabile in una piattaforma per raccogliere informazioni e avvicinarsi ad ambienti collegati.

Per chi difende le reti, il messaggio è netto: l’infrastruttura di gestione non è semplice “plumbing” di fondo. È un confine di sicurezza, una fonte di prove ad alto valore e, potenzialmente, la strada verso il prossimo bersaglio.