RespostasPublicado17 fontes
Como a Fire Ant passou a explorar a infraestrutura de confiança das redes
Em 2025, a Fire Ant foi associada a intrusões em ambientes VMware ESXi e vCenter; em 2026, os relatos descreveram ataques contra roteadores Cisco IOS XR, servidores TACACS e hosts Linux de gerenciamento. Túneis GRE sem explicação, o backdoor BridgeAgent disfarçado de agente Zabbix, interceptação de sessões TACACS, c...
Publicado porEditado com GPT-5.6 LunaImagens geradas com GPT Image 1.5
Resposta de pesquisa
Principais conclusões
- Em 2025, a Fire Ant foi associada a intrusões em ambientes VMware ESXi e vCenter; em 2026, os relatos descreveram ataques contra roteadores Cisco IOS XR, servidores TACACS e hosts Linux de gerenciamento.
- Túneis GRE sem explicação, o backdoor BridgeAgent disfarçado de agente Zabbix, interceptação de sessões TACACS, captura de tráfego e supressão de registros deram ao grupo persistência, acesso a credenciais e visibilid...
- A principal lição para os defensores é tratar roteadores, serviços AAA, hosts de salto, hipervisores e plataformas de monitoramento como ativos de nível Tier 0, protegendo também sua telemetria e suas evidências foren...
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the China-linked threat actor Fire Ant evolve its espionage campaign from exploiting VMware ESXi and vCenter environments in 2025 to. Article summary: Fire Ant’s campaign evolved from stealthy control of VMware ESXi and vCenter in 2025 to control of the infrastructure that governs connectivity and administration in 2026: Cisco IOS XR edge routers, TACACS servers, and L. Topic tags: general, education, general web, government, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
A campanha atribuída à Fire Ant revela uma mudança estratégica: em vez de mirar apenas servidores e máquinas virtuais, o grupo passou a atacar a infraestrutura que controla a conectividade e a administração das redes. Em 2025, o ator associado à China foi relacionado a acessos persistentes em ambientes VMware ESXi e vCenter. Até o fim de agosto de 2026, os relatos passaram a descrever comprometimentos de roteadores Cisco IOS XR, servidores TACACS — usados para autenticação, autorização e registro de administradores — e hosts Linux de gerenciamento. 10
11
A mudança amplia significativamente o alcance da operação. Um roteador comprometido pode observar e encaminhar tráfego; um servidor TACACS está no caminho da autenticação administrativa; e um host de gerenciamento pode funcionar como ponte para segmentos que, em teoria, estariam isolados. A vítima inicial pode ser apenas o ponto de partida para chegar a outros ambientes: o chamado “alvo por trás do alvo”.
Do hipervisor ao plano de controle
A atividade anterior da Fire Ant em VMware concentrava-se na infraestrutura de virtualização, capaz de fornecer persistência e acesso a várias cargas hospedadas. A investigação posterior da Sygnia descreve uma campanha voltada à infraestrutura considerada confiável: dispositivos de rede, serviços de autenticação e hosts de administração. 10
Esse conjunto forma um ponto de coleta muito mais poderoso do que um endpoint individual. A partir dele, o invasor pode identificar relações entre administradores, dispositivos, redes e organizações conectadas, além de encontrar caminhos de acesso que não seriam visíveis a partir de uma única máquina. 10
11
Como a operação funcionava
Um túnel GRE sem explicação podia servir como pivô
Os investigadores encontraram uma interface GRE ativa em um roteador Cisco IOS XR sem correspondência na configuração em execução ou no histórico de commits. O GRE, sigla em inglês para Generic Routing Encapsulation, encapsula um protocolo dentro de outro pacote IP para transportar dados entre dois pontos. Um túnel não autorizado, portanto, pode criar uma rota ou um canal de retransmissão oculto. 3
9
A anomalia não significa que todo túnel sem explicação seja prova de comprometimento. O problema é a diferença entre o estado real do dispositivo e o fluxo normal de auditoria e mudança. Quando essa diferença aparece, ela deve ser investigada imediatamente, pois pode indicar atividade fora dos procedimentos esperados de configuração.
BridgeAgent se passava por software de monitoramento
Em um sistema Linux legado usado para gerenciamento, a Fire Ant implantou o BridgeAgent apresentando-o como um agente de monitoramento Zabbix. Segundo os relatos, o implante permitia comunicações por reverse shell criptografadas com TLS, mantendo o acesso por meio de tráfego capaz de se misturar a atividades legítimas de administração e monitoramento. 10
12
O host de gerenciamento era especialmente valioso como ponto de pivô. Por já ser confiável, ele poderia alcançar roteadores, servidores de autenticação, sistemas de monitoramento e outros segmentos restritos.
O roteador virou plataforma de coleta
O roteador IOS XR comprometido podia capturar tráfego, armazenar capturas de pacotes e exfiltrar arquivos PCAP. A observação no nível do roteador permite descobrir quais sistemas se comunicam, quais protocolos são usados, quais faixas de endereços estão presentes e como as rotas se relacionam. Quando as sessões não estão adequadamente protegidas, também pode expor dados sensíveis ou credenciais. 10
11
Assim, o dispositivo deixou de ser apenas um mecanismo de persistência. Ele se tornou um ponto de observação dentro do “tecido conjuntivo” da rede, oferecendo inteligência e alcance e, ao mesmo tempo, podendo esconder a atividade maliciosa no funcionamento normal da infraestrutura.
TacTap mirava o gargalo da autenticação
A Fire Ant também comprometeu a infraestrutura TACACS, em vez de depender somente de senhas roubadas de endpoints. O TACACS é um protocolo usado por muitas organizações para centralizar a autenticação e a autorização de administradores de dispositivos de rede.
A Sygnia descreveu uma ferramenta chamada TacTap, que injetava uma biblioteca no processo tac_plus, interceptava sessões TACACS aceitas e encaminhava descritores de sessão ativos para um socket Unix local. A ferramenta também criava um artefato de credenciais com ofuscação XOR em /var/log/.tacplus.acct. 10
Um servidor TACACS comprometido pode revelar quem se autentica, em quais dispositivos, quando as sessões ocorrem e quais decisões de autorização são tomadas. Dependendo do funcionamento do serviço, também pode expor material de credenciais. O comprometimento desse ponto enfraquece tanto o controle de acesso quanto a confiança nos registros administrativos.
Backdoors adicionais ampliaram o acesso
Os investigadores identificaram ainda um backdoor em /var/tmp/audit, no sistema TACACS, que usava interfaces VMware VSOCK/VMCI. Esses canais voltados à comunicação entre convidado e host podem não se parecer com logins de rede comuns observados a partir do sistema Linux, oferecendo outra opção de comunicação discreta. 10
A técnica também se conecta ao interesse anterior da Fire Ant por infraestrutura próxima da virtualização. O padrão é procurar fronteiras de confiança que o monitoramento convencional de endpoints talvez não consiga enxergar completamente.
A supressão de registros atacou a própria camada de evidências
A Fire Ant teria suprimido registros e telemetria e alterado carimbos de data e hora dos arquivos. Essas ações dificultam a reconstrução de quando túneis, ferramentas, mecanismos de persistência e artefatos de credenciais foram criados. Também reduzem a confiança nos registros do roteador e do sistema de autenticação, justamente as fontes usadas para determinar o alcance e a sequência do ataque. 10
11
Esse comportamento não é um detalhe secundário. Ao atacar a camada de evidências, o invasor torna a detecção e a resposta a incidentes menos confiáveis.
O que a operação poderia revelar
A combinação dos acessos poderia ajudar a Fire Ant a mapear as relações que tornam uma rede administrável:
- Identidades de administradores e credenciais privilegiadas de dispositivos de rede.
- Solicitações de autenticação, decisões de autorização, sessões nos dispositivos e atividades administrativas.
- Conexões entre hosts de salto, servidores TACACS, roteadores e dispositivos gerenciados.
- Faixas de endereços internos, relações de roteamento, limites de segmentação e redes de gerenciamento acessíveis.
- Organizações conectadas ou terceiros que dependem da infraestrutura comprometida.
- Ambientes de alto valor alcançáveis por meio das relações de roteamento, autenticação ou gerenciamento operacional da vítima.
10
O risco é cumulativo. Um acesso ao hipervisor, um implante em Linux, um túnel no roteador e o controle de um servidor TACACS podem parecer incidentes separados. Juntos, formam uma camada persistente de acesso que atravessa várias fronteiras de confiança.
Por que “alvo por trás do alvo”
Em uma intrusão convencional, a organização comprometida costuma ser o objetivo principal. O comportamento relatado da Fire Ant sugere uma possibilidade diferente: a infraestrutura da vítima pode ser valiosa principalmente por oferecer uma rota para outros ambientes.
O roteador fornece trânsito e visibilidade. O servidor de autenticação pode revelar ou interceptar acessos administrativos. O host de gerenciamento oferece um ponto de partida confiável. Com esses recursos, o ator consegue estudar redes conectadas e identificar alvos de maior valor sem necessariamente atacá-los de forma direta desde o início. A Sygnia descreveu a campanha como uma operação contra a infraestrutura que roteia, autentica, conecta e administra ambientes de alto valor. 10
11
Esse modelo é difícil de conter porque os sistemas afetados costumam ser tratados como fundações confiáveis, e não como endpoints comuns.
A sobreposição com a UNC3886
A Sygnia descreveu forte sobreposição entre a Fire Ant e a atividade ligada à China rastreada pela Mandiant como UNC3886. Os pontos em comum incluem acesso persistente a infraestrutura de virtualização e controle de rede, ferramentas personalizadas, evasão da visibilidade tradicional de endpoints e interesse por equipamentos de rede. Relatos públicos também relacionam a UNC3886 a atividades anteriores envolvendo roteadores Juniper e infraestrutura orientada à Cisco. 10
15
As informações disponíveis sustentam uma correlação operacional e de ferramentas, mas não necessariamente uma identidade única comprovada publicamente. A conexão mais consistente está no modelo de atuação: manter posições duradouras na camada de infraestrutura, onde os dispositivos podem oferecer pouca telemetria de endpoint e onde um comprometimento influencia roteamento, administração, validação de identidade e segmentação.
A preocupação com infraestrutura crítica
Os relatos citados não comprovam que essa atividade específica da Fire Ant tenha comprometido diretamente uma empresa de água ou saneamento. A preocupação é mais ampla: o acesso prolongado a infraestrutura corporativa, de provedores de serviços ou de gerenciamento pode permitir a observação — e potencialmente abrir caminhos — para ambientes críticos conectados. A própria Sygnia menciona riscos relacionados a ambientes de alto valor e infraestrutura crítica. 1
10
Para organizações de água e saneamento, a lição é não presumir que uma rede operacional esteja protegida apenas porque os sistemas corporativos parecem intactos. Serviços de identidade compartilhados, administração remota, conexões com terceiros, plataformas de virtualização e infraestrutura de gerenciamento de rede podem criar caminhos indiretos de confiança.
O perigo vem da soma dos acessos, não necessariamente de uma única exploração espetacular.
Prioridades de defesa
Trate a infraestrutura de gerenciamento como Tier 0
Roteadores, serviços TACACS/RADIUS e outros serviços AAA, hosts de salto, ferramentas de gerenciamento de virtualização e plataformas de monitoramento devem ter responsáveis definidos e proteção dedicada. Aplique limites administrativos rígidos, autenticação multifator quando disponível, menor privilégio, correções rápidas e controle rigoroso sobre fornecedores e terceiros. 10
Compare o estado real dos dispositivos com as mudanças aprovadas
Compare continuamente interfaces, túneis, rotas, estado de encaminhamento, commits de configuração e integridade de processos ou softwares dos roteadores com as linhas de base aprovadas. Gere alertas para interfaces GRE, endpoints de túnel ou mudanças de rota sem registro de autorização. 9
10
Segmente os caminhos administrativos
Restrinja a administração de dispositivos e o acesso ao TACACS a redes de gerenciamento dedicadas. Limite quais hosts de salto podem alcançar os equipamentos e reduza os caminhos de confiança entre TI corporativa, conexões de provedores e ambientes operacionais ou críticos. 10
Torne a telemetria de autenticação resistente a adulterações
Envie registros de TACACS, roteadores, Linux, hipervisores e fluxos de rede para armazenamento externo, imutável ou resistente a alterações. Correlacione solicitações de autenticação, resultados de autorização, sessões nos dispositivos e comandos administrativos.
Investigue telemetria ausente e alterações inesperadas em processos, bibliotecas, sockets ou arquivos de log relacionados ao TACACS. 10
Preserve as evidências antes de remediar
Se houver suspeita de comprometimento, colete, quando possível, o estado volátil e a memória, os dados operacionais dos roteadores, as configurações completas e o histórico de commits, informações de processos e sockets, metadados do sistema de arquivos e PCAPs relevantes antes de reiniciar equipamentos ou apagar artefatos.
Mantenha cópias independentes e hashes, sobretudo quando houver indícios de supressão de logs ou manipulação de carimbos de data e hora. 10
Procure comportamentos, não apenas nomes de arquivos
Monitore binários de agentes de monitoramento não autorizados, conexões reversas suspeitas com TLS originadas em hosts de gerenciamento, uso inesperado de VSOCK/VMCI, injeção de processos no TACACS, artefatos ocultos de credenciais e divergências entre o estado real dos dispositivos e o histórico de configuração aprovado. Esses sinais comportamentais tendem a ser mais duradouros do que um nome de arquivo ou indicador isolado. 10
A principal lição
A evolução da Fire Ant pode ser entendida como uma passagem do comprometimento de cargas de trabalho para o comprometimento dos sistemas que governam a confiança. A combinação relatada de visibilidade em roteadores, interceptação de autenticação, persistência em Linux, túneis discretos e técnicas antiforenses pode transformar infraestrutura confiável em uma plataforma para coleta de inteligência e movimentação rumo a ambientes conectados.
Para os defensores, a conclusão é direta: a infraestrutura de gerenciamento de rede não é apenas a “tubulação” invisível da operação. Ela é uma fronteira de segurança, uma fonte crítica de evidências e, potencialmente, o caminho para o próximo alvo.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Como a Fire Ant passou a explorar a infraestrutura de confiança das redes"?
Em 2025, a Fire Ant foi associada a intrusões em ambientes VMware ESXi e vCenter; em 2026, os relatos descreveram ataques contra roteadores Cisco IOS XR, servidores TACACS e hosts Linux de gerenciamento.
Quais são os pontos-chave para validar primeiro?
Em 2025, a Fire Ant foi associada a intrusões em ambientes VMware ESXi e vCenter; em 2026, os relatos descreveram ataques contra roteadores Cisco IOS XR, servidores TACACS e hosts Linux de gerenciamento. Túneis GRE sem explicação, o backdoor BridgeAgent disfarçado de agente Zabbix, interceptação de sessões TACACS, captura de tráfego e supressão de registros deram ao grupo persistência, acesso a credenciais e visibilid...
O que devo fazer a seguir na prática?
A principal lição para os defensores é tratar roteadores, serviços AAA, hosts de salto, hipervisores e plataformas de monitoramento como ativos de nível Tier 0, protegendo também sua telemetria e suas evidências foren...