Fire Ant 的已報告行動，顯示其攻擊策略正沿著基礎設施堆疊向上移動。2025 年，這個與中國有關聯的威脅行為者被指以隱蔽方式進入 VMware ESXi 與 vCenter 環境；到了 2026 年 8 月底，相關報導則描述了 Cisco IOS XR 路由器、TACACS 驗證伺服器及 Linux 管理主機遭入侵。這些系統分別負責轉送流量、驗證管理員身分，以及連接和管理營運環境。1011

這種轉變的重要性在於：上述系統提供的可視性與存取範圍，遠超過單一虛擬機器或一般端點。眼前遭入侵的組織，可能只是更大行動中的第一個落腳點——也就是所謂的「目標背後的目標」。

從虛擬化平台轉向控制平面

Fire Ant 早期針對 VMware 的活動，著重於能夠跨越多個託管工作負載、提供持久性和存取權的虛擬化基礎設施。Sygnia 後續報告則指出，這次行動的重心轉向受信任的網路基礎設施，包括網路裝置、驗證服務及管理主機。10

這些位置是更具價值的資料與存取集中點：遭入侵的路由器可觀察並轉送流量；遭入侵的 TACACS 伺服器位於管理員驗證流程的關鍵路徑；遭入侵的跳板或管理主機，則可能成為原本彼此隔離系統之間的橋樑。這些據點結合後，可暴露管理員、裝置、網路及相連組織之間的關係。1011

這場行動如何運作

無法解釋的 GRE 介面可能成為轉進通道

調查人員在一部 Cisco IOS XR 路由器上發現一個正在運作的 GRE 介面，但無法從執行中的設定或提交紀錄解釋其來源。GRE（Generic Routing Encapsulation，通用路由封裝）通常會把一種協定封裝在外層 IP 封包中，讓資料在兩個隧道端點之間傳送；因此，未經授權的隧道可能建立隱蔽的路由或轉送路徑。39

關鍵不在於每一條無法解釋的隧道都必然代表遭入侵，而在於裝置當前狀態與正常稽核軌跡不一致。這可能表示有活動在預期的設定流程之外發生，應立即啟動調查。

BridgeAgent 偽裝成監控軟體

在一部舊版 Linux 管理系統上，Fire Ant 部署了 BridgeAgent，並將其偽裝成 Zabbix 監控代理程式。據報，這個植入程式支援以 TLS 加密的反向 Shell 通訊，讓操作者能透過看似合法的管理流量維持存取。1012

管理主機之所以特別有價值，是因為它通常已獲准連接路由器、驗證服務、監控系統或其他受限制的網路區段，因此可作為進一步轉進的跳板。

路由器變成流量收集與轉送平台

遭入侵的 IOS XR 路由器可被用來擷取流量、暫存封包擷取檔，並外傳 PCAP 資料。路由器層級的觀察能力，可能揭示正在通訊的系統、使用中的協定、網路位址範圍、路由關係，以及在保護不足的情況下取得敏感資料或憑證。1011

因此，路由器不只是持久化存取的據點，也成為位於網路連接骨幹內的觀測位置：它同時提供情報與可達性，並可能讓惡意活動混入日常網路作業。

TacTap 瞄準驗證流程的關鍵節點

Fire Ant 並非只依賴從個別端點竊取的憑證，也入侵了 TACACS 基礎設施。Sygnia 描述的工具組 TacTap，會將程式庫注入 tac_plus 程序，攔截已接受的 TACACS 工作階段，並透過本機 Unix socket 傳遞即時工作階段的檔案描述元。該工具也會在 /var/log/.tacplus.acct 建立 XOR 混淆的憑證檔案。10

TACACS 伺服器掌握網路裝置的管理驗證路徑，可能暴露哪些管理員進行驗證、哪些裝置提出授權要求、工作階段何時發生，以及服務處理的憑證資料。這一層遭入侵後，不僅存取控制可能被削弱，管理稽核紀錄的可信度也會受到影響。

其他後門延續了對虛擬化環境的熟悉

調查人員也在 TACACS 系統上發現 /var/tmp/audit 後門，並指出它使用 VMware VSOCK/VMCI 介面。這類面向客體與主機的通道，從 Linux 客體內部觀察時，可能不像一般網路登入，因而為操作者提供另一種隱蔽通訊選項。10

這項技術也與 Fire Ant 早期對虛擬化周邊基礎設施的興趣，在概念上相互呼應：攻擊者持續尋找傳統端點監控可能無法完整涵蓋的受信任系統邊界。

壓制日誌與修改時間戳，削弱證據鏈

據報，Fire Ant 壓制日誌和遙測資料，並修改檔案時間戳。這些行動會使防禦者更難還原工具、隧道、持久化機制及憑證檔案何時出現，也會降低路由器與驗證紀錄在判定攻擊範圍及先後順序時的可信度。1011

這不是行動的附帶效果，而是其中一項重要能力。攻擊者透過攻擊「證據層」，同時讓偵測與事件應變變得更不可靠。

攻擊者可能取得什麼

多個據點結合後，可能協助 Fire Ant 描繪並利用維持網路運作的各種關係，包括：

• 管理員身分及具高權限的網路裝置憑證。
• 驗證要求、授權決策、裝置工作階段及管理活動。
• 跳板主機、TACACS 伺服器、路由器與受管理裝置之間的連結。
• 內部位址範圍、路由關係、分段邊界及可到達的管理網路。
• 依賴遭入侵基礎設施的相連組織或第三方。
• 可透過受害者的路由、驗證或營運管理關係進入的高價值網路。10

風險在於其累積效果。虛擬化平台據點、Linux 管理主機植入程式、路由器隧道及 TACACS 存取，單獨看來或許像不同事件；但合併起來，便可能形成橫跨多個信任邊界的持久存取層。

為何稱為「目標背後的目標」

在一般入侵事件中，遭入侵組織往往就是主要目標。但 Fire Ant 的已報告行為顯示另一種可能：受害者的基礎設施之所以有價值，可能是因為它能提供通往其他環境的路徑。

路由器提供轉送能力與可視性；驗證伺服器能揭示或攔截管理存取；管理主機則可成為可信的行動起點。攻擊者不必立即直接攻擊更高價值的目標，也能先研究相連網路，找出值得進一步滲透的環境。Sygnia 將這場行動描述為針對負責路由、驗證、連接及管理高價值環境的基礎設施。1011

這種模式之所以難以遏止，是因為受影響的系統通常被視為可信賴的基礎，而非一般端點。

與 UNC3886 的重疊之處

Sygnia 指出，Fire Ant 與 Mandiant 追蹤的中國相關活動 UNC3886 之間存在高度重疊，包括長期維持對虛擬化及網路控制基礎設施的存取、使用客製化工具、避開傳統端點可視性，以及對網路設備的興趣。公開報導也將 UNC3886 過去的活動與 Juniper 路由器及 Cisco 相關基礎設施連結起來。1015

不過，現有報導支持的是行動方式與工具上的關聯，並非已在公開層面證實兩者必然是一對一的同一身分。更持久的警示在於其作業模式：把存取權留在基礎設施層，因為這些裝置往往缺乏完整的端點遙測，而遭入侵後又可能影響路由、管理、身分驗證或網路分段。

為何關鍵基礎設施營運者需要重視

現有引用報導並未證實這次特定的 Fire Ant 活動直接入侵供水或污水處理公用事業。更廣泛的疑慮是：若攻擊者能長期掌握企業、服務供應商或管理基礎設施，便可能藉此觀察相連的關鍵環境，或取得通往這些環境的潛在路徑。Sygnia 的報告明確討論了高價值環境與關鍵基礎設施所面臨的風險。110

對供水及污水處理機構而言，重點不是假設營運網路彼此隔離，只要商務系統看似未受影響就代表安全。共用身分服務、遠端管理、第三方連線、虛擬化平台及網路管理基礎設施，都可能形成間接信任路徑。實際風險來自多個據點逐步累積，而非單一引人注目的漏洞利用。

網路管理基礎設施的防禦優先事項

將管理系統視為 Tier 0 資產

為路由器、TACACS/RADIUS 等 AAA 服務、跳板主機、虛擬化管理平台及監控平台指定專責管理與保護機制。實施嚴格的管理邊界、在支援的情況下啟用多因素驗證、遵循最小權限原則、快速修補，並嚴格控管供應商與第三方存取。10

將即時裝置狀態與核准變更互相比對

持續把路由器介面、隧道、路由、轉送狀態、設定提交紀錄，以及軟體或程序完整性，與核准基準進行比對。對缺乏授權變更紀錄的 GRE 介面、隧道端點或路由變更發出警示。910

分隔管理路徑

將裝置管理及 TACACS 存取限制在專用管理網路；限制哪些跳板主機可以連接網路裝置；並盡量減少企業 IT、服務供應商連線，以及營運或關鍵環境之間的信任路徑。10

讓驗證遙測具備抗竄改能力

將 TACACS、路由器、Linux、虛擬化平台及網路流量日誌轉送至主機外的不可變或具抗竄改能力儲存空間。關聯分析驗證要求、授權結果、裝置工作階段及管理指令；若遙測突然消失，或 TACACS 程序、程式庫、socket 及日誌檔案出現異常變更，應立即調查。10

修復前先保存證據

若懷疑遭到入侵，在重新啟動裝置或刪除痕跡前，應視情況收集易失性狀態與記憶體、路由器運作資料、完整設定及提交紀錄、程序與 socket 資訊、檔案系統中繼資料，以及相關 PCAP。尤其在懷疑存在日誌壓制或時間戳竄改時，應保存獨立副本並計算雜湊值。10

追蹤行為，而非只搜尋檔名

留意未授權的監控代理程式二進位檔、管理主機發出的可疑 TLS 反向連線、異常 VSOCK/VMCI 使用、TACACS 程序注入、隱藏的憑證檔案，以及即時裝置狀態與核准設定歷史之間的不一致。這些行為訊號比任何單一檔名或指標更具持久性。10

核心教訓

Fire Ant 的演變，最好理解為從入侵工作負載，轉向入侵支配信任關係的系統。據報，攻擊者把路由器可視性、驗證攔截、Linux 持久化、隱蔽隧道及反鑑識手法結合起來，將受信任的基礎設施變成情報收集平台，並探索通往相連環境的路徑。

對防禦者而言，結論同樣清楚：網路管理基礎設施不是背景管線，而是安全邊界、高價值證據來源，也可能是下一個目標的入口。

Fire Ant 的已報告行動，顯示其攻擊策略正沿著基礎設施堆疊向上移動。2025 年，這個與中國有關聯的威脅行為者被指以隱蔽方式進入 VMware ESXi 與 vCenter 環境；到了 2026 年 8 月底，相關報導則描述了 Cisco IOS XR 路由器、TACACS 驗證伺服器及 Linux 管理主機遭入侵。這些系統分別負責轉送流量、驗證管理員身分，以及連接和管理營運環境。1011

這種轉變的重要性在於：上述系統提供的可視性與存取範圍，遠超過單一虛擬機器或一般端點。眼前遭入侵的組織，可能只是更大行動中的第一個落腳點——也就是所謂的「目標背後的目標」。

從虛擬化平台轉向控制平面

Fire Ant 早期針對 VMware 的活動，著重於能夠跨越多個託管工作負載、提供持久性和存取權的虛擬化基礎設施。Sygnia 後續報告則指出，這次行動的重心轉向受信任的網路基礎設施，包括網路裝置、驗證服務及管理主機。10

這些位置是更具價值的資料與存取集中點：遭入侵的路由器可觀察並轉送流量；遭入侵的 TACACS 伺服器位於管理員驗證流程的關鍵路徑；遭入侵的跳板或管理主機，則可能成為原本彼此隔離系統之間的橋樑。這些據點結合後，可暴露管理員、裝置、網路及相連組織之間的關係。1011

這場行動如何運作

無法解釋的 GRE 介面可能成為轉進通道

調查人員在一部 Cisco IOS XR 路由器上發現一個正在運作的 GRE 介面，但無法從執行中的設定或提交紀錄解釋其來源。GRE（Generic Routing Encapsulation，通用路由封裝）通常會把一種協定封裝在外層 IP 封包中，讓資料在兩個隧道端點之間傳送；因此，未經授權的隧道可能建立隱蔽的路由或轉送路徑。39

關鍵不在於每一條無法解釋的隧道都必然代表遭入侵，而在於裝置當前狀態與正常稽核軌跡不一致。這可能表示有活動在預期的設定流程之外發生，應立即啟動調查。

BridgeAgent 偽裝成監控軟體

在一部舊版 Linux 管理系統上，Fire Ant 部署了 BridgeAgent，並將其偽裝成 Zabbix 監控代理程式。據報，這個植入程式支援以 TLS 加密的反向 Shell 通訊，讓操作者能透過看似合法的管理流量維持存取。1012

管理主機之所以特別有價值，是因為它通常已獲准連接路由器、驗證服務、監控系統或其他受限制的網路區段，因此可作為進一步轉進的跳板。

路由器變成流量收集與轉送平台

遭入侵的 IOS XR 路由器可被用來擷取流量、暫存封包擷取檔，並外傳 PCAP 資料。路由器層級的觀察能力，可能揭示正在通訊的系統、使用中的協定、網路位址範圍、路由關係，以及在保護不足的情況下取得敏感資料或憑證。1011

因此，路由器不只是持久化存取的據點，也成為位於網路連接骨幹內的觀測位置：它同時提供情報與可達性，並可能讓惡意活動混入日常網路作業。

TacTap 瞄準驗證流程的關鍵節點

Fire Ant 並非只依賴從個別端點竊取的憑證，也入侵了 TACACS 基礎設施。Sygnia 描述的工具組 TacTap，會將程式庫注入 tac_plus 程序，攔截已接受的 TACACS 工作階段，並透過本機 Unix socket 傳遞即時工作階段的檔案描述元。該工具也會在 /var/log/.tacplus.acct 建立 XOR 混淆的憑證檔案。10

TACACS 伺服器掌握網路裝置的管理驗證路徑，可能暴露哪些管理員進行驗證、哪些裝置提出授權要求、工作階段何時發生，以及服務處理的憑證資料。這一層遭入侵後，不僅存取控制可能被削弱，管理稽核紀錄的可信度也會受到影響。

其他後門延續了對虛擬化環境的熟悉

調查人員也在 TACACS 系統上發現 /var/tmp/audit 後門，並指出它使用 VMware VSOCK/VMCI 介面。這類面向客體與主機的通道，從 Linux 客體內部觀察時，可能不像一般網路登入，因而為操作者提供另一種隱蔽通訊選項。10

這項技術也與 Fire Ant 早期對虛擬化周邊基礎設施的興趣，在概念上相互呼應：攻擊者持續尋找傳統端點監控可能無法完整涵蓋的受信任系統邊界。

壓制日誌與修改時間戳，削弱證據鏈

據報，Fire Ant 壓制日誌和遙測資料，並修改檔案時間戳。這些行動會使防禦者更難還原工具、隧道、持久化機制及憑證檔案何時出現，也會降低路由器與驗證紀錄在判定攻擊範圍及先後順序時的可信度。1011

這不是行動的附帶效果，而是其中一項重要能力。攻擊者透過攻擊「證據層」，同時讓偵測與事件應變變得更不可靠。

攻擊者可能取得什麼

多個據點結合後，可能協助 Fire Ant 描繪並利用維持網路運作的各種關係，包括：

• 管理員身分及具高權限的網路裝置憑證。
• 驗證要求、授權決策、裝置工作階段及管理活動。
• 跳板主機、TACACS 伺服器、路由器與受管理裝置之間的連結。
• 內部位址範圍、路由關係、分段邊界及可到達的管理網路。
• 依賴遭入侵基礎設施的相連組織或第三方。
• 可透過受害者的路由、驗證或營運管理關係進入的高價值網路。10

風險在於其累積效果。虛擬化平台據點、Linux 管理主機植入程式、路由器隧道及 TACACS 存取，單獨看來或許像不同事件；但合併起來，便可能形成橫跨多個信任邊界的持久存取層。

為何稱為「目標背後的目標」

在一般入侵事件中，遭入侵組織往往就是主要目標。但 Fire Ant 的已報告行為顯示另一種可能：受害者的基礎設施之所以有價值，可能是因為它能提供通往其他環境的路徑。

路由器提供轉送能力與可視性；驗證伺服器能揭示或攔截管理存取；管理主機則可成為可信的行動起點。攻擊者不必立即直接攻擊更高價值的目標，也能先研究相連網路，找出值得進一步滲透的環境。Sygnia 將這場行動描述為針對負責路由、驗證、連接及管理高價值環境的基礎設施。1011

這種模式之所以難以遏止，是因為受影響的系統通常被視為可信賴的基礎，而非一般端點。

與 UNC3886 的重疊之處

Sygnia 指出，Fire Ant 與 Mandiant 追蹤的中國相關活動 UNC3886 之間存在高度重疊，包括長期維持對虛擬化及網路控制基礎設施的存取、使用客製化工具、避開傳統端點可視性，以及對網路設備的興趣。公開報導也將 UNC3886 過去的活動與 Juniper 路由器及 Cisco 相關基礎設施連結起來。1015

不過，現有報導支持的是行動方式與工具上的關聯，並非已在公開層面證實兩者必然是一對一的同一身分。更持久的警示在於其作業模式：把存取權留在基礎設施層，因為這些裝置往往缺乏完整的端點遙測，而遭入侵後又可能影響路由、管理、身分驗證或網路分段。

為何關鍵基礎設施營運者需要重視

現有引用報導並未證實這次特定的 Fire Ant 活動直接入侵供水或污水處理公用事業。更廣泛的疑慮是：若攻擊者能長期掌握企業、服務供應商或管理基礎設施，便可能藉此觀察相連的關鍵環境，或取得通往這些環境的潛在路徑。Sygnia 的報告明確討論了高價值環境與關鍵基礎設施所面臨的風險。110

對供水及污水處理機構而言，重點不是假設營運網路彼此隔離，只要商務系統看似未受影響就代表安全。共用身分服務、遠端管理、第三方連線、虛擬化平台及網路管理基礎設施，都可能形成間接信任路徑。實際風險來自多個據點逐步累積，而非單一引人注目的漏洞利用。

網路管理基礎設施的防禦優先事項

將管理系統視為 Tier 0 資產

為路由器、TACACS/RADIUS 等 AAA 服務、跳板主機、虛擬化管理平台及監控平台指定專責管理與保護機制。實施嚴格的管理邊界、在支援的情況下啟用多因素驗證、遵循最小權限原則、快速修補，並嚴格控管供應商與第三方存取。10

將即時裝置狀態與核准變更互相比對

持續把路由器介面、隧道、路由、轉送狀態、設定提交紀錄，以及軟體或程序完整性，與核准基準進行比對。對缺乏授權變更紀錄的 GRE 介面、隧道端點或路由變更發出警示。910

分隔管理路徑

將裝置管理及 TACACS 存取限制在專用管理網路；限制哪些跳板主機可以連接網路裝置；並盡量減少企業 IT、服務供應商連線，以及營運或關鍵環境之間的信任路徑。10

讓驗證遙測具備抗竄改能力

將 TACACS、路由器、Linux、虛擬化平台及網路流量日誌轉送至主機外的不可變或具抗竄改能力儲存空間。關聯分析驗證要求、授權結果、裝置工作階段及管理指令；若遙測突然消失，或 TACACS 程序、程式庫、socket 及日誌檔案出現異常變更，應立即調查。10

修復前先保存證據

若懷疑遭到入侵，在重新啟動裝置或刪除痕跡前，應視情況收集易失性狀態與記憶體、路由器運作資料、完整設定及提交紀錄、程序與 socket 資訊、檔案系統中繼資料，以及相關 PCAP。尤其在懷疑存在日誌壓制或時間戳竄改時，應保存獨立副本並計算雜湊值。10

追蹤行為，而非只搜尋檔名

留意未授權的監控代理程式二進位檔、管理主機發出的可疑 TLS 反向連線、異常 VSOCK/VMCI 使用、TACACS 程序注入、隱藏的憑證檔案，以及即時裝置狀態與核准設定歷史之間的不一致。這些行為訊號比任何單一檔名或指標更具持久性。10

核心教訓

Fire Ant 的演變，最好理解為從入侵工作負載，轉向入侵支配信任關係的系統。據報，攻擊者把路由器可視性、驗證攔截、Linux 持久化、隱蔽隧道及反鑑識手法結合起來，將受信任的基礎設施變成情報收集平台，並探索通往相連環境的路徑。

對防禦者而言，結論同樣清楚：網路管理基礎設施不是背景管線，而是安全邊界、高價值證據來源，也可能是下一個目標的入口。