Il gruppo di spionaggio Fire Ant, legato alla Cina, ha cambiato strategia compromettendo router Cisco con malware personalizzato, trasformandoli in strumenti di sorveglianza e ponti segreti per infiltrarsi nelle reti aziendali.
Il gruppo di spionaggio Fire Ant, attribuito alla Cina, ha adottato una nuova tattica mirata ai router Cisco, secondo quanto rivelato dagli esperti di Sygnia. L'indagine è partita dal rilevamento di un'interfaccia GRE (Generic Routing Encapsulation) attiva su un router Cisco IOS XR, non giustificata dalla configurazione o dalla cronologia dei comandi. Questo ha permesso di scoprire che Fire Ant ha spostato il proprio focus dagli hypervisor VMware verso router Cisco, server di autenticazione TACACS e host di gestione Linux.
Malware su misura e tecniche di persistenza
L'analisi ha evidenziato la presenza di malware personalizzato, progettato per garantire la persistenza tramite un servizio di sistema falso che attivava l'impianto solo in orari alterni. Il codice malevolo era in grado di sopprimere selettivamente i messaggi syslog, nascondendo le attività legate ai tunnel agli amministratori legittimi, e stabiliva connessioni Telnet in uscita verso l'infrastruttura Fire Ant, offrendo accesso shell interattivo senza alcuna registrazione delle attività.
Router trasformati in piattaforme di raccolta dati
Gli attaccanti hanno sfruttato i privilegi amministrativi per catturare il traffico di più router e caricare i file PCAP risultanti su server FTP esterni. Questi dati potevano rivelare topologie interne, connessioni amministrative, flussi di autenticazione, relazioni di routing e traffico scambiato con reti collegate. Come sottolinea Sygnia, "il router passa da semplice dispositivo di transito a piattaforma di raccolta", offrendo agli attaccanti un punto di osservazione privilegiato sul traffico delle reti fidate.
Infiltrazione nelle infrastrutture critiche
Il tunnel GRE occultato collegava un router compromesso a un server Linux legacy, usato da Fire Ant come base per attività di ricognizione. Da qui, il gruppo ha sondato sistemi in ambienti di alto valore, inclusi quelli legati a infrastrutture critiche, sfruttando porte comunemente usate per SSH, servizi web, SMB/RPC e RDP. Secondo Sygnia, l'obiettivo era compromettere infrastrutture fidate presso la vittima iniziale e utilizzarle come ponte segreto per esplorare percorsi di accesso verso reti di maggior valore, una strategia definita "target dietro il target".
Nuove backdoor e tecniche di occultamento
Tra le scoperte figura anche una backdoor inedita, denominata 'BridgeAgent', camuffata da agente di monitoraggio Zabbix. Questa backdoor persiste come servizio systemd a livello root e supporta shell reverse TLS e l'esecuzione di ulteriori payload sul sistema compromesso.
Connessioni con UNC3886 e raccomandazioni di sicurezza
Sygnia evidenzia forti sovrapposizioni tra Fire Ant e il gruppo UNC3886, già documentato da Google, pur rilevando differenze nei nomi file, nei percorsi e nei dettagli implementativi. Gli esperti avvertono che Fire Ant manipola sistematicamente log e record di sistema, alterando anche i timestamp dei file per ostacolare le indagini. Si raccomanda quindi di validare i log recuperati da infrastrutture sospette confrontandoli con altre fonti di dati.
Indicatori di compromissione e contesto europeo
Il report di Sygnia fornisce una lista dettagliata di indicatori di compromissione (IoC) e regole YARA per individuare l'attività di Fire Ant. L'episodio si inserisce in un contesto di crescente attenzione verso la sicurezza delle infrastrutture di rete, come dimostrato anche dalla recente azione di CISA sulle vulnerabilità critiche di TrueConf Server, sottolineando la necessità di monitoraggio costante e aggiornamenti tempestivi per proteggere le reti aziendali e pubbliche.
