Fire Ant tấn công router Cisco để đánh cắp thông tin xác thực
"A China-nexus espionage group tracked as Fire Ant was reported compromising Cisco IOS XR routers, TACACS servers, and Linux management hosts to capture traffic, steal credentials, and suppress logs and telemetry. The activity included router-control-plane malware, TACACS credential collection via library injection, and a Linux backdoor masquerading as a Zabbix agent; no CVE was cited in the article, and the main impact was stealthy persistence and credential theft across trusted network infrastructure."
Tác động bảo mật cao do đánh cắp credentials, ẩn hoạt động trên router và làm sai lệch log/telemetry; có nguy cơ mở rộng sang hạ tầng tin cậy và các môi trường liên quan.
Ảnh hưởng vận hành đáng kể vì có thể làm gián đoạn điều tra sự cố, tăng chi phí forensics và tạo rủi ro cho mạng lõi cùng các hệ thống quản trị quan trọng.
Nhóm gián điệp mạng có liên hệ với Trung Quốc, được theo dõi là Fire Ant, được ghi nhận đã mở rộng chiến dịch từ VMware sang Cisco IOS XR routers, TACACS servers và các Linux management hosts trong môi trường doanh nghiệp. Theo Sygnia, kẻ tấn công biến router bị chiếm quyền thành điểm thu thập, từ đó bắt lưu lượng mạng, thu thập thông tin xác thực và che giấu log/telemetry để làm khó quá trình điều tra.
Điều tra cho thấy Fire Ant triển khai mã độc ở control plane của router, sửa luồng thực thi lệnh để ẩn cấu hình tunnel, đồng thời xuất PCAPs ra máy chủ FTP bên ngoài. Trên TACACS server, nhóm này dùng kỹ thuật library injection để chèn vào tiến trình tac_plus và ghi lại thông tin đăng nhập. Một backdoor Linux mới, giả dạng Zabbix agent, cũng được phát hiện trên host quản trị.
Tác động chính là duy trì hiện diện bí mật trong hạ tầng tin cậy và mở đường cho truy cập sâu hơn vào các mạng giá trị cao. Khuyến nghị: kiểm tra cấu hình router, đối chiếu log với memory/disk/network evidence, rà soát TACACS và jump host, đồng thời giám sát các dấu hiệu như GRE tunnel bất thường, tiến trình giả mạo và thay đổi dịch vụ hệ thống.