Fire Ant被报道的行动，显示出一个明显转向：攻击者不再只盯着某台虚拟机或服务器，而是开始控制决定“谁能访问什么、流量经过哪里”的基础设施。

2025年，Sygnia将这一与中国有关联的网络间谍活动与VMware ESXi和vCenter环境联系起来。到2026年8月底，公开报告披露的目标已扩展至Cisco IOS XR路由器、TACACS认证服务器和Linux管理主机——这些系统分别负责转发流量、验证管理员身份，以及连接和管理不同的运营环境。1011

这意味着，最初遭入侵的组织可能只是行动的第一落点，而不是最终目标。其基础设施本身，可能被用来观察、认证并进入与之相连的其他环境，也就是所谓的“目标之后的目标”。

从虚拟化平台转向网络控制面

Fire Ant早期针对VMware的活动，重点是获取虚拟化基础设施中的持久访问权，从而影响其承载的多个工作负载。Sygnia后续披露的活动，则把重点放到了更受信任的基础设施：网络设备、身份认证服务和管理主机。10

这类系统是更有价值的汇聚点：

• 被控制的路由器可以观察并转发流量；
• 被控制的TACACS服务器处于网络设备管理认证链路的关键位置；
• 被控制的跳板机或管理主机，可以成为穿越原本隔离网络的桥梁。1011

这些 foothold（立足点）组合起来后，攻击者可能看到管理员、设备、网络以及相互连接组织之间的关系，而不必立即直接攻击更高价值的目标。

这场行动是如何展开的

无法解释的GRE接口，可能成为隐蔽跳板

调查人员在一台Cisco IOS XR路由器上发现了处于活动状态的GRE接口，但在运行配置和配置提交历史中都找不到对应记录。39

GRE，即“通用路由封装”，通常会把一种协议的数据包封装进外层IP数据包，在两个隧道端点之间传输。未经授权的隧道因此可能提供一条隐蔽的转发或中继路径。3

当然，无法解释的隧道并不自动等于已经遭到入侵。但当设备的实时状态与正常审计记录不一致时，组织应立即调查是否存在绕过标准变更流程的操作。

BridgeAgent伪装成监控代理

在一台旧版Linux管理系统上，Fire Ant部署了BridgeAgent，并将其伪装成Zabbix监控代理。该植入程序据称支持经过TLS加密的反向Shell通信，使操作者能够借助看起来像正常管理或监控活动的流量维持访问。1012

管理主机之所以重要，是因为它通常已经被授权访问路由器、认证服务、监控系统或其他受限网段。一旦这样的主机被控制，它就不只是一个被感染的终端，而可能成为进入网络管理平面的中转站。

路由器被改造成流量收集和中继平台

遭入侵的IOS XR路由器可以被用于捕获流量、暂存数据包，并外传PCAP数据。路由器层面的可见性，可能暴露通信双方、使用的协议、内部地址范围、路由关系和网络分段；如果相关通信保护不足，还可能暴露敏感内容或凭据。1011

因此，路由器在这场行动中不只是持久化载体，也是网络连接“骨架”中的观察点。它同时提供情报价值、网络可达性和一定程度的隐蔽性，使恶意活动可能混入日常网络运行之中。

TacTap瞄准认证链路的“咽喉要道”

Fire Ant并非只依赖从个人终端窃取管理员密码，而是进一步攻击了TACACS基础设施本身。Sygnia称，其工具TacTap会将库注入 tac_plus进程，钩取已接受的TACACS会话，并通过本地Unix套接字传递实时会话文件描述符；该工具还会在/var/log/.tacplus.acct创建经过XOR混淆的凭据文件。10

TACACS服务器处于网络设备管理认证路径上，可能暴露：哪些管理员进行了认证、哪些设备发起授权请求、会话何时发生，以及服务处理过的潜在凭据材料。攻击者控制这一层后，不仅可能削弱访问控制，也会动摇管理员对审计记录可靠性的信心。

VSOCK/VMCI后门延续其虚拟化相关手法

调查人员还在TACACS系统中发现了位于/var/tmp/audit的后门，该后门使用VMware VSOCK/VMCI接口。这类面向客户机与宿主机的通信方式，可能不会在Linux客户机内表现为普通网络登录，为攻击者提供了另一条隐蔽通信选择。10

这也在一定程度上延续了Fire Ant此前对虚拟化邻近基础设施的兴趣：攻击者持续寻找传统终端监控不一定能够完整覆盖的可信系统边界。

压制日志、修改时间戳，破坏“证据层”

报告称，Fire Ant压制了日志和遥测数据，并修改了文件时间戳。这会增加调查人员重建攻击时间线的难度，模糊工具、隧道、持久化机制和凭据文件的出现时间，也会降低路由器及认证记录在确定影响范围和事件顺序时的可信度。1011

这并非行动的附带结果，而是攻击的一部分：攻击者同时攻击了防守方用来发现入侵和还原过程的证据层。

攻击者可能看到什么、到达哪里

这些立足点组合后，可能帮助Fire Ant绘制并利用网络管理关系，包括：

• 管理员身份以及高权限网络设备凭据；
• 认证请求、授权结果、设备会话和管理活动；
• 跳板机、TACACS服务器、路由器与受管设备之间的连接关系；
• 内部地址范围、路由关系、网络分段边界和可访问的管理网络；
• 依赖受感染基础设施的关联组织或第三方；
• 可通过受害方的路由、认证或运维管理关系触达的高价值环境。10

单独看，虚拟化平台立足点、Linux管理主机植入、路由器隧道和TACACS访问可能像是彼此分离的事件。但将它们合并起来，就可能形成跨越多个信任边界的持久访问层。

为什么说是“目标之后的目标”

在传统入侵中，被攻破的组织往往就是主要目标。但Fire Ant的行为还指向另一种可能：受害组织之所以有价值，是因为它的基础设施能够通往其他环境。

路由器提供流量转发和网络可见性，认证服务器可以揭示甚至拦截管理员访问，管理主机则可能提供一个受信任的行动起点。借助这些位置，攻击者可以先研究相连网络，再识别更高价值目标，而不必一开始就直接攻击它们。Sygnia将这场行动描述为针对负责路由、认证、连接和管理高价值环境的关键基础设施。1011

这类模式尤其难以遏制，因为相关系统通常被视为可信的网络基础，而不是普通终端。

与UNC3886的重叠在哪里

Sygnia称，Fire Ant与Mandiant追踪的、与中国有关联的活动集群UNC3886之间存在较强重叠。共同点包括：持续控制虚拟化和网络控制基础设施、使用定制工具、规避传统终端可见性，以及持续关注网络设备。公开报道还将UNC3886与此前针对Juniper路由器及Cisco相关基础设施的活动联系起来。1015

不过，现有公开材料更支持在行动方式和工具层面的关联，并不足以证明两者是公开确认的“一对一”同一身份。更值得关注的，是双方体现出的相似运营模式：在基础设施层长期驻留，而这些设备往往缺少普通终端安全产品能够提供的完整遥测数据。控制这一层，攻击者就可能影响路由、远程管理、身份验证和网络分段。10

对关键基础设施运营者意味着什么

现有引用报告并未证明这次具体的Fire Ant活动直接攻破了某一家供水或污水处理机构。更广泛的担忧在于：如果攻击者长期控制企业、服务提供商或管理基础设施，就可能借此观察或寻找通往相连关键环境的路径。Sygnia的报告明确讨论了高价值环境和关键基础设施风险。110

对供水和污水处理机构而言，不能因为业务系统表面上没有受影响，就假设相对隔离的运营网络绝对安全。共享身份服务、远程管理、第三方连接、虚拟化平台和网络管理基础设施，都可能形成间接信任路径。

真正的风险往往来自多个立足点的累积，而不是某一个引人注目的单一漏洞。

网络管理基础设施的防御重点

将管理系统视为Tier 0资产

为路由器、TACACS/RADIUS等AAA服务、跳板机、虚拟化管理平台和监控系统安排专门的责任主体与防护措施。实施严格的管理边界、在支持的情况下启用多因素认证、遵循最小权限原则，及时修补系统，并严格控制供应商和第三方访问。10

将设备实时状态与批准变更持续比对

持续核对路由器接口、隧道、路由、转发状态、配置提交记录，以及软件和进程完整性。对于没有授权变更记录支撑的GRE接口、隧道端点或路由变化，应触发告警并展开调查。910

分隔管理路径

将设备管理和TACACS访问限制在专用管理网络内，限制跳板机能够访问的网络设备，并尽量减少企业IT、服务提供商链路与运营技术或关键环境之间的信任路径。10

让认证遥测难以被篡改

将TACACS、路由器、Linux、虚拟化平台和网络流量日志转发到主机之外的不可变或具备抗篡改能力的存储中。关联分析认证请求、授权结果、设备会话和管理命令；一旦出现遥测缺失，或TACACS进程、库、套接字和日志文件发生异常变化，应立即调查。10

先保全证据，再进行修复

怀疑遭到入侵时，在重启设备或删除文件前，尽可能收集易失状态、内存、路由器运行数据、完整配置和提交历史、进程与套接字信息、文件系统元数据及相关PCAP。对副本进行独立保存并计算哈希，尤其要注意这类行动可能包含日志压制和时间戳篡改。10

按行为狩猎，而不只是搜索文件名

重点寻找未经授权的监控代理二进制文件、管理主机发起的可疑TLS反向连接、异常VSOCK/VMCI使用、TACACS进程注入、隐藏的凭据文件，以及实时设备状态与批准配置历史之间的差异。行为信号通常比某个固定文件名或单一指标更持久。10

核心教训：网络“管道”本身就是安全边界

Fire Ant的演变，最好理解为从攻击工作负载转向攻击“管理信任的系统”。报告所描述的路由器流量观察、认证拦截、Linux持久化、隐蔽隧道和反取证行为，可能把可信基础设施变成情报收集平台，并为进入相连环境提供路径。

对防御者而言，结论同样明确：网络管理基础设施不是幕后管道，而是安全边界、高价值证据来源，也可能是下一个目标的入口。

Fire Ant被报道的行动，显示出一个明显转向：攻击者不再只盯着某台虚拟机或服务器，而是开始控制决定“谁能访问什么、流量经过哪里”的基础设施。

2025年，Sygnia将这一与中国有关联的网络间谍活动与VMware ESXi和vCenter环境联系起来。到2026年8月底，公开报告披露的目标已扩展至Cisco IOS XR路由器、TACACS认证服务器和Linux管理主机——这些系统分别负责转发流量、验证管理员身份，以及连接和管理不同的运营环境。1011

这意味着，最初遭入侵的组织可能只是行动的第一落点，而不是最终目标。其基础设施本身，可能被用来观察、认证并进入与之相连的其他环境，也就是所谓的“目标之后的目标”。

从虚拟化平台转向网络控制面

Fire Ant早期针对VMware的活动，重点是获取虚拟化基础设施中的持久访问权，从而影响其承载的多个工作负载。Sygnia后续披露的活动，则把重点放到了更受信任的基础设施：网络设备、身份认证服务和管理主机。10

这类系统是更有价值的汇聚点：

• 被控制的路由器可以观察并转发流量；
• 被控制的TACACS服务器处于网络设备管理认证链路的关键位置；
• 被控制的跳板机或管理主机，可以成为穿越原本隔离网络的桥梁。1011

这些 foothold（立足点）组合起来后，攻击者可能看到管理员、设备、网络以及相互连接组织之间的关系，而不必立即直接攻击更高价值的目标。

这场行动是如何展开的

无法解释的GRE接口，可能成为隐蔽跳板

调查人员在一台Cisco IOS XR路由器上发现了处于活动状态的GRE接口，但在运行配置和配置提交历史中都找不到对应记录。39

GRE，即“通用路由封装”，通常会把一种协议的数据包封装进外层IP数据包，在两个隧道端点之间传输。未经授权的隧道因此可能提供一条隐蔽的转发或中继路径。3

当然，无法解释的隧道并不自动等于已经遭到入侵。但当设备的实时状态与正常审计记录不一致时，组织应立即调查是否存在绕过标准变更流程的操作。

BridgeAgent伪装成监控代理

在一台旧版Linux管理系统上，Fire Ant部署了BridgeAgent，并将其伪装成Zabbix监控代理。该植入程序据称支持经过TLS加密的反向Shell通信，使操作者能够借助看起来像正常管理或监控活动的流量维持访问。1012

管理主机之所以重要，是因为它通常已经被授权访问路由器、认证服务、监控系统或其他受限网段。一旦这样的主机被控制，它就不只是一个被感染的终端，而可能成为进入网络管理平面的中转站。

路由器被改造成流量收集和中继平台

遭入侵的IOS XR路由器可以被用于捕获流量、暂存数据包，并外传PCAP数据。路由器层面的可见性，可能暴露通信双方、使用的协议、内部地址范围、路由关系和网络分段；如果相关通信保护不足，还可能暴露敏感内容或凭据。1011

因此，路由器在这场行动中不只是持久化载体，也是网络连接“骨架”中的观察点。它同时提供情报价值、网络可达性和一定程度的隐蔽性，使恶意活动可能混入日常网络运行之中。

TacTap瞄准认证链路的“咽喉要道”

Fire Ant并非只依赖从个人终端窃取管理员密码，而是进一步攻击了TACACS基础设施本身。Sygnia称，其工具TacTap会将库注入 tac_plus进程，钩取已接受的TACACS会话，并通过本地Unix套接字传递实时会话文件描述符；该工具还会在/var/log/.tacplus.acct创建经过XOR混淆的凭据文件。10

TACACS服务器处于网络设备管理认证路径上，可能暴露：哪些管理员进行了认证、哪些设备发起授权请求、会话何时发生，以及服务处理过的潜在凭据材料。攻击者控制这一层后，不仅可能削弱访问控制，也会动摇管理员对审计记录可靠性的信心。

VSOCK/VMCI后门延续其虚拟化相关手法

调查人员还在TACACS系统中发现了位于/var/tmp/audit的后门，该后门使用VMware VSOCK/VMCI接口。这类面向客户机与宿主机的通信方式，可能不会在Linux客户机内表现为普通网络登录，为攻击者提供了另一条隐蔽通信选择。10

这也在一定程度上延续了Fire Ant此前对虚拟化邻近基础设施的兴趣：攻击者持续寻找传统终端监控不一定能够完整覆盖的可信系统边界。

压制日志、修改时间戳，破坏“证据层”

报告称，Fire Ant压制了日志和遥测数据，并修改了文件时间戳。这会增加调查人员重建攻击时间线的难度，模糊工具、隧道、持久化机制和凭据文件的出现时间，也会降低路由器及认证记录在确定影响范围和事件顺序时的可信度。1011

这并非行动的附带结果，而是攻击的一部分：攻击者同时攻击了防守方用来发现入侵和还原过程的证据层。

攻击者可能看到什么、到达哪里

这些立足点组合后，可能帮助Fire Ant绘制并利用网络管理关系，包括：

• 管理员身份以及高权限网络设备凭据；
• 认证请求、授权结果、设备会话和管理活动；
• 跳板机、TACACS服务器、路由器与受管设备之间的连接关系；
• 内部地址范围、路由关系、网络分段边界和可访问的管理网络；
• 依赖受感染基础设施的关联组织或第三方；
• 可通过受害方的路由、认证或运维管理关系触达的高价值环境。10

单独看，虚拟化平台立足点、Linux管理主机植入、路由器隧道和TACACS访问可能像是彼此分离的事件。但将它们合并起来，就可能形成跨越多个信任边界的持久访问层。

为什么说是“目标之后的目标”

在传统入侵中，被攻破的组织往往就是主要目标。但Fire Ant的行为还指向另一种可能：受害组织之所以有价值，是因为它的基础设施能够通往其他环境。

路由器提供流量转发和网络可见性，认证服务器可以揭示甚至拦截管理员访问，管理主机则可能提供一个受信任的行动起点。借助这些位置，攻击者可以先研究相连网络，再识别更高价值目标，而不必一开始就直接攻击它们。Sygnia将这场行动描述为针对负责路由、认证、连接和管理高价值环境的关键基础设施。1011

这类模式尤其难以遏制，因为相关系统通常被视为可信的网络基础，而不是普通终端。

与UNC3886的重叠在哪里

Sygnia称，Fire Ant与Mandiant追踪的、与中国有关联的活动集群UNC3886之间存在较强重叠。共同点包括：持续控制虚拟化和网络控制基础设施、使用定制工具、规避传统终端可见性，以及持续关注网络设备。公开报道还将UNC3886与此前针对Juniper路由器及Cisco相关基础设施的活动联系起来。1015

不过，现有公开材料更支持在行动方式和工具层面的关联，并不足以证明两者是公开确认的“一对一”同一身份。更值得关注的，是双方体现出的相似运营模式：在基础设施层长期驻留，而这些设备往往缺少普通终端安全产品能够提供的完整遥测数据。控制这一层，攻击者就可能影响路由、远程管理、身份验证和网络分段。10

对关键基础设施运营者意味着什么

现有引用报告并未证明这次具体的Fire Ant活动直接攻破了某一家供水或污水处理机构。更广泛的担忧在于：如果攻击者长期控制企业、服务提供商或管理基础设施，就可能借此观察或寻找通往相连关键环境的路径。Sygnia的报告明确讨论了高价值环境和关键基础设施风险。110

对供水和污水处理机构而言，不能因为业务系统表面上没有受影响，就假设相对隔离的运营网络绝对安全。共享身份服务、远程管理、第三方连接、虚拟化平台和网络管理基础设施，都可能形成间接信任路径。

真正的风险往往来自多个立足点的累积，而不是某一个引人注目的单一漏洞。

网络管理基础设施的防御重点

将管理系统视为Tier 0资产

为路由器、TACACS/RADIUS等AAA服务、跳板机、虚拟化管理平台和监控系统安排专门的责任主体与防护措施。实施严格的管理边界、在支持的情况下启用多因素认证、遵循最小权限原则，及时修补系统，并严格控制供应商和第三方访问。10

将设备实时状态与批准变更持续比对

持续核对路由器接口、隧道、路由、转发状态、配置提交记录，以及软件和进程完整性。对于没有授权变更记录支撑的GRE接口、隧道端点或路由变化，应触发告警并展开调查。910

分隔管理路径

将设备管理和TACACS访问限制在专用管理网络内，限制跳板机能够访问的网络设备，并尽量减少企业IT、服务提供商链路与运营技术或关键环境之间的信任路径。10

让认证遥测难以被篡改

将TACACS、路由器、Linux、虚拟化平台和网络流量日志转发到主机之外的不可变或具备抗篡改能力的存储中。关联分析认证请求、授权结果、设备会话和管理命令；一旦出现遥测缺失，或TACACS进程、库、套接字和日志文件发生异常变化，应立即调查。10

先保全证据，再进行修复

怀疑遭到入侵时，在重启设备或删除文件前，尽可能收集易失状态、内存、路由器运行数据、完整配置和提交历史、进程与套接字信息、文件系统元数据及相关PCAP。对副本进行独立保存并计算哈希，尤其要注意这类行动可能包含日志压制和时间戳篡改。10

按行为狩猎，而不只是搜索文件名

重点寻找未经授权的监控代理二进制文件、管理主机发起的可疑TLS反向连接、异常VSOCK/VMCI使用、TACACS进程注入、隐藏的凭据文件，以及实时设备状态与批准配置历史之间的差异。行为信号通常比某个固定文件名或单一指标更持久。10

核心教训：网络“管道”本身就是安全边界

Fire Ant的演变，最好理解为从攻击工作负载转向攻击“管理信任的系统”。报告所描述的路由器流量观察、认证拦截、Linux持久化、隐蔽隧道和反取证行为，可能把可信基础设施变成情报收集平台，并为进入相连环境提供路径。

对防御者而言，结论同样明确：网络管理基础设施不是幕后管道，而是安全边界、高价值证据来源，也可能是下一个目标的入口。