Fire Ant gjør betrodd nettverksinfrastruktur til en spionplattform

Fire Ants rapporterte kampanje viser et strategisk steg oppover i infrastrukturen. I 2025 ble den Kina-knyttede aktøren knyttet til skjult tilgang i VMware ESXi- og vCenter-miljøer. Mot slutten av august 2026 beskrev rapporter kompromittering av Cisco IOS XR-rutere, TACACS-autentiseringsservere og Linux-vertsmaskiner for administrasjon – systemene som ruter trafikk, godkjenner administratorer og kobler sammen driftsmiljøer. 1011

Det er viktig fordi slike systemer kan gi langt mer innsyn og rekkevidde enn én enkelt virtuell maskin eller arbeidsstasjon. Det umiddelbare offeret kan dermed bare være første fotfeste i en større operasjon: «målet bak målet».

Fra hypervisorer til kontrollplanet

Fire Ants tidligere aktivitet mot VMware var rettet mot virtualiseringsinfrastruktur som kunne gi varig tilgang på tvers av flere arbeidsbelastninger. Den senere rapporteringen fra Sygnia beskriver i stedet en kampanje mot betrodd infrastruktur: nettverksenheter, autentiseringstjenester og administrasjonsverter. 10

Dette er et kraftigere innsamlingspunkt. En kompromittert ruter kan observere og videresende trafikk. En kompromittert TACACS-server befinner seg midt i den administrative autentiseringsflyten. En kompromittert hoppserver eller administrasjonsvert kan fungere som bro mellom systemer som ellers er adskilt. Til sammen kan slike fotfester synliggjøre forholdet mellom administratorer, enheter, nettverk og tilknyttede organisasjoner. 1011

Slik skal operasjonen ha fungert

En uforklarlig GRE-kobling kan ha blitt brukt som springbrett

Etterforskere fant et aktivt GRE-grensesnitt på en Cisco IOS XR-ruter som ikke kunne forklares av den aktive konfigurasjonen eller endringshistorikken. GRE kapsler normalt én protokoll inn i en ytre IP-pakke mellom to tunnelendepunkter. En uautorisert tunnel kan derfor opprette en skjult rute eller videresendingsvei. 39

Avviket betyr ikke at enhver ukjent tunnel beviser et innbrudd. Det alvorlige var at tilstanden på den aktive enheten ikke stemte med det normale revisjonssporet. Det kan tyde på aktivitet utenfor de forventede konfigurasjonsrutinene og bør utløse en umiddelbar undersøkelse.

BridgeAgent skjulte varig tilgang som overvåkingsprogramvare

På et eldre Linux-system for administrasjon skal Fire Ant ha installert BridgeAgent og presentert den som en Zabbix-agent for overvåking. Implantatet skal ha støttet TLS-krypterte omvendte skallforbindelser, slik at operatørene kunne opprettholde tilgang gjennom trafikk som kunne ligne legitim administrasjon. 1012

En administrasjonsvert er særlig verdifull som springbrett. Den kan allerede være klarert for tilgang til rutere, autentiseringstjenester, overvåkingssystemer eller andre begrensede nettverkssegmenter.

Ruteren ble en plattform for innsamling og videresending

Den kompromitterte IOS XR-ruteren kunne brukes til å fange opp trafikk, lagre pakkeopptak og hente ut PCAP-data. Innsyn på ruter-nivå kan avsløre hvilke systemer som kommuniserer, hvilke protokoller som brukes, interne adresseområder, rutingsforhold og – når trafikken ikke er tilstrekkelig beskyttet – sensitive data eller legitimasjon. 1011

Ruteren fungerte dermed som mer enn et vedvarende fotfeste. Den ble et utsiktspunkt i nettverkets forbindelsesvev, med både etterretningsverdi og rekkevidde, samtidig som aktiviteten potensielt kunne blandes inn i vanlig nettverksdrift.

TacTap gikk etter autentiseringspunktet

Fire Ant skal også ha kompromittert TACACS-infrastrukturen, i stedet for bare å basere seg på passord stjålet fra enkeltmaskiner. Sygnia beskrev et verktøy kalt TacTap som injiserte et bibliotek i tac_plus-prosessen, koblet seg på godkjente TACACS-økter og sendte aktive øktbeskrivelser videre til en lokal Unix-sokkel. Verktøyet opprettet også en XOR-tilslørt legitimasjonsfil i /var/log/.tacplus.acct. 10

En TACACS-server kan eksponere hele den administrative veien inn i nettverksenhetene: hvilke administratorer som logger inn, hvilke enheter som ber om autorisasjon, når øktene finner sted og potensielt materiale som tjenesten håndterer. Et innbrudd på dette laget kan svekke både tilgangskontrollen og tilliten til revisjonssporene.

Flere bakdører bygget videre på erfaringen fra virtualiseringsmiljøer

Etterforskere identifiserte også en /var/tmp/audit-bakdør på TACACS-systemet som brukte VMware VSOCK/VMCI-grensesnitt. Slike kommunikasjonskanaler mellom gjest og vert trenger ikke se ut som vanlige nettverksinnlogginger fra Linux-gjestens perspektiv, og kan dermed gi et ekstra skjult kommunikasjonsalternativ. 10

Teknikken knytter den nyere aktiviteten til Fire Ants tidligere interesse for virtualiseringsnær infrastruktur. Aktøren skal fortsatt ha lett etter betrodde systemgrenser som tradisjonell endepunkt-overvåking ikke nødvendigvis dekker godt.

Loggundertrykking og endrede tidsstempler svekket bevisene

Fire Ant skal ha undertrykt logger og telemetri, samt endret tidsstempler på filer. Det gjør det vanskeligere å rekonstruere når verktøy, tunneler, persistensmekanismer og legitimasjonsfiler ble opprettet. Det svekker også tilliten til ruter- og autentiseringsloggene som forsvarere normalt bruker for å fastslå omfang og rekkefølge. 1011

Dette var en sentral del av kampanjen, ikke en detalj i etterkant. Ved å angripe bevislaget gjorde aktøren både oppdagelse og hendelseshåndtering mindre pålitelig.

Hva kunne aktøren få innsyn i?

De samlede fotfestene kunne hjelpe Fire Ant med å kartlegge og utnytte forbindelsene som gjør et nettverk administrerbart:

• Administratoridentiteter og privilegerte opplysninger for nettverksenheter.
• Autentiseringsforespørsler, autorisasjonsavgjørelser, enhetsøkter og administrativ aktivitet.
• Forbindelsene mellom hoppservere, TACACS-servere, rutere og enhetene de administrerer.
• Interne adresseområder, rutingsforhold, segmenteringsgrenser og tilgjengelige administrasjonsnettverk.
• Tilknyttede organisasjoner eller tredjeparter som er avhengige av den kompromitterte infrastrukturen.
• Verdifulle nettverk som kan nås gjennom offerets ruting, autentisering eller operative administrasjonsforbindelser. 10

Risikoen blir større når fotfestene kombineres. En hypervisor, en Linux-implantat, en rutertunnel og tilgang til TACACS kan hver for seg se ut som separate hendelser. Samlet kan de danne et varig tilgangslag på tvers av flere tillitsgrenser.

«Målet bak målet»

I et mer tradisjonelt innbrudd er den kompromitterte organisasjonen ofte hovedmålet. Fire Ants rapporterte fremgangsmåte peker mot en annen mulighet: Offerets infrastruktur kan være verdifull først og fremst fordi den gir en vei videre til andre miljøer.

En ruter kan gi både transport og innsyn. En autentiseringsserver kan avsløre eller fange opp administrativ tilgang. En administrasjonsvert kan fungere som en klarert utskytingsplattform. Dermed kan aktøren studere tilknyttede nettverk og finne mål med høyere verdi uten å angripe dem direkte med én gang. Sygnia beskrev kampanjen som rettet mot infrastruktur som ruter, autentiserer, kobler sammen og administrerer verdifulle miljøer. 1011

Denne modellen er vanskelig å stanse fordi de berørte systemene ofte behandles som betrodde grunnmurer, ikke som vanlige endepunkter.

Likhetstrekk med UNC3886

Sygnia har beskrevet sterke likhetstrekk mellom Fire Ant og den Kina-knyttede aktiviteten Mandiant sporer som UNC3886. Overlappen omfatter varig tilgang til virtualiserings- og nettverksinfrastruktur, spesialutviklede verktøy, omgåelse av tradisjonell endepunkt-overvåking og interesse for nettverksutstyr. Offentlig rapportering knytter også UNC3886 til tidligere aktivitet mot Juniper-rutere og Cisco-relatert infrastruktur. 1015

Rapporteringen underbygger en sammenheng i verktøy og operasjonsmåte, men beviser ikke offentlig at det er snakk om én og samme aktør. Det mer varige faresignalet er arbeidsmodellen: å opprettholde tilgang i infrastrukturen, der enhetene kan ha begrenset endepunktstelemetri, og der et innbrudd kan påvirke ruting, administrasjon, identitetskontroll eller segmentering.

Hvorfor kritisk infrastruktur bør følge med

Den siterte rapporteringen viser ikke at akkurat denne Fire Ant-aktiviteten direkte kompromitterte et vann- eller avløpsanlegg. Den bredere bekymringen er at langvarig tilgang til virksomhets-, tjenesteleverandør- eller administrasjonsinfrastruktur kan gi innsyn i, eller mulige veier mot, tilknyttede kritiske miljøer. Sygnia omtaler uttrykkelig risikoen for verdifulle nettverk og kritisk infrastruktur. 110

For vann- og avløpsvirksomheter er lærdommen å ikke anta at et isolert driftsnett er trygt bare fordi forretningssystemene ser uberørt ut. Delte identitetstjenester, fjernadministrasjon, tredjepartsforbindelser, virtualiseringsplattformer og nettverksadministrasjon kan skape indirekte tillitsveier. Den praktiske risikoen kommer fra oppsamlede fotfester, ikke nødvendigvis fra ett spektakulært sikkerhetshull.

Viktigste forsvarstiltak

Behandle administrasjonsinfrastrukturen som Tier 0

Gi rutere, TACACS/RADIUS og andre AAA-tjenester, hoppservere, virtualiseringsadministrasjon og overvåkingsplattformer dedikert eierskap og beskyttelse. Bruk strenge administrative skiller, flerfaktorautentisering der det støttes, minste privilegium, rask oppdatering og tett kontroll med leverandør- og tredjepartstilgang. 10

Sammenlign aktiv tilstand med godkjente endringer

Sammenlign fortløpende rutergrensesnitt, tunneler, ruter, videresendingsstatus, konfigurasjonsendringer og integriteten til programvare og prosesser med godkjente grunnlinjer. Varsle om GRE-grensesnitt, tunnelendepunkter eller ruteendringer som ikke kan knyttes til en autorisert endring. 910

Skill de administrative veiene

Begrens administrasjon av enheter og tilgang til TACACS til dedikerte administrasjonsnettverk. Styr hvilke hoppservere som kan nå nettverksenheter, og reduser tillitsforbindelsene mellom virksomhetens IT-miljø, tjenesteleverandørforbindelser og operative eller kritiske miljøer. 10

Gjør autentiseringstelemetri motstandsdyktig mot manipulering

Send logger fra TACACS, rutere, Linux, hypervisorer og nettverksflyt til ekstern lagring som er uforanderlig eller på annen måte beskyttet mot endringer. Sammenstill autentiseringsforespørsler, autorisasjonsresultater, enhetsøkter og administrative kommandoer. Undersøk manglende telemetri og uventede endringer i TACACS-prosesser, biblioteker, sokler eller loggfiler. 10

Sikre bevis før opprydding

Ved mistanke om kompromittering bør man, der det er mulig, hente inn flyktig tilstand og minne, driftsdata fra rutere, komplette konfigurasjoner og endringshistorikk, prosess- og sokkelinformasjon, filsystemmetadata og relevante PCAP-filer før enheter startes på nytt eller spor slettes. Oppbevar uavhengige kopier og kontrollsummer, særlig når loggundertrykking eller manipulering av tidsstempler inngår i mistanken. 10

Se etter atferd – ikke bare filnavn

Let etter uautoriserte overvåkingsagenter, mistenkelige TLS-baserte omvendte forbindelser fra administrasjonsverter, uventet bruk av VSOCK/VMCI, prosessinjeksjon i TACACS, skjulte legitimasjonsfiler og avvik mellom aktiv enhetstilstand og godkjent konfigurasjonshistorikk. Atferdssignaler varer lenger enn ett bestemt filnavn eller én enkelt indikator. 10

Hovedlærdommen

Fire Ants utvikling kan best forstås som et skifte fra å kompromittere arbeidsbelastninger til å kompromittere systemene som styrer tillit. Den rapporterte kombinasjonen av ruterinnsyn, avlytting av autentisering, Linux-persistens, skjulte tunneler og anti-forensikk kunne gjøre betrodd infrastruktur til en plattform for etterretningsinnsamling og videre bevegelse mot tilknyttede miljøer.

For forsvarere er konklusjonen tydelig: Nettverksadministrasjon er ikke bare teknisk bakgrunnsstøy. Denne infrastrukturen er en sikkerhetsgrense, en verdifull beviskilde – og potensielt veien til det neste målet.