🛡️ Executive Summary
- Fire Ant estende le operazioni dai sistemi VMware ai router Cisco IOS XR, ai server TACACS e agli host Linux di gestione.
- Gli attaccanti catturano PCAP, rubano credenziali, creano tunnel GRE e manipolano log e comandi per rendere invisibile la propria attività.
- Sygnia osserva forti sovrapposizioni con UNC3886, ma non formula un’attribuzione definitiva e mantiene la classificazione China-nexus.
Fire Ant sposta il baricentro dello spionaggio dai server all’infrastruttura che controlla la rete. Il gruppo China-nexus analizzato da Sygnia ha esteso le proprie operazioni dai sistemi VMware ESXi e vCenter a router Cisco IOS XR, server di autenticazione TACACS e host Linux utilizzati per amministrare ambienti ad alto valore. L’obiettivo non è soltanto mantenere accesso: il controllo dei router permette di osservare il traffico, sottrarre credenziali, costruire percorsi nascosti e soprattutto manipolare le fonti di telemetria utilizzate dagli incident responder. L’evoluzione segue lo stesso principio visto nelle campagne contro VMware vCenter, dove il controllo del management plane consegna all’attaccante un’intera infrastruttura e non un singolo endpoint.
Cosa leggere
Fire Ant passa dagli hypervisor ai router Cisco IOS XR
L’analisi tecnica pubblicata da Sygnia descrive una campagna attiva nel 2026 che rappresenta l’evoluzione dell’attività Fire Ant resa pubblica nel 2025. Gli investigatori hanno individuato un’anomalia su un router Cisco IOS XR: un’interfaccia GRE attiva senza una configurazione corrente o una commit history capace di spiegare la sua presenza. Da quel tunnel l’indagine ha raggiunto un vecchio sistema Linux, utilizzato per effettuare scanning e tentativi di connessione verso SSH, HTTP, SMB e RDP su reti collegate.
L’episodio dimostra perché gli apparati edge rappresentino un bersaglio privilegiato: una volta conquistato il router, l’attaccante ottiene una posizione interna e può esplorare ambienti che dall’esterno sarebbero irraggiungibili. È lo stesso vantaggio operativo sfruttato dalle reti ORB cinesi basate su router compromessi e malware come LongLeash.
Il router diventa contemporaneamente sensore e strumento di occultamento
Fire Ant non utilizza il router soltanto come ponte. Sygnia ha recuperato componenti sviluppati specificamente per il control plane IOS XR, tra cui una libreria modificata capace di filtrare i log e un secondo impianto che altera il percorso di esecuzione dei comandi. Uno dei moduli controlla i messaggi in uscita e lascia passare solo quelli contenenti determinate stringhe; un altro aggiunge filtri ai comandi show in modo da nascondere all’amministratore la configurazione del tunnel malevolo. Il risultato è una forma di anti-forensics direttamente sull’apparato di rete, molto più pericolosa di una semplice cancellazione dei log perché altera ciò che il difensore vede mentre interroga il dispositivo. Il problema richiama i router ZBT con backdoor root, nei quali l’infrastruttura di rete stessa diventa parte attiva della compromissione.
Leggi anche: I router diventano scudi per gli hacker: LongLeash costruisce reti ORB per gli APT cinesi
Fire Ant cattura il traffico e porta i PCAP fuori dalla rete
Dopo avere ottenuto il controllo dei router, Fire Ant li utilizza come punti di raccolta del traffico. Sygnia ha osservato la generazione di packet capture su più dispositivi Cisco e il successivo trasferimento dei file verso server FTP esterni, uno dei quali sarebbe stato predisposto proprio il giorno dell’esfiltrazione. Il vantaggio è evidente: chi controlla un router centrale può osservare flussi di autenticazione, sessioni amministrative e comunicazioni che transitano tra segmenti considerati fidati, anche senza compromettere immediatamente tutti gli endpoint coinvolti. Il paradigma ricorda la logica delle campagne di cyberspionaggio cinese contro operatori telecom, dove il valore del dispositivo edge deriva soprattutto dalla capacità di osservare e instradare traffico privilegiato.
TacTap ruba le credenziali direttamente dal server TACACS
Il passaggio più delicato riguarda il sistema di autenticazione TACACS, utilizzato per centralizzare gli accessi amministrativi agli apparati di rete. Sygnia ha identificato un toolset denominato TacTap composto da un injector chiamato acppid e da una libreria malevola caricata dentro il processo tac_plus. La libreria intercetta le funzioni che accettano nuove connessioni e passa le sessioni a un secondo processo attraverso un socket Unix locale. Le credenziali catturate vengono salvate nel file /var/log/.tacplus.acct e offuscate con una semplice chiave XOR 0xEF. Sygnia considera questa specifica tecnica di injection una novità pubblica nella tradecraft del gruppo. Il valore strategico è enorme perché il compromesso di TACACS permette di colpire l’identità amministrativa dell’intera infrastruttura, dinamica già visibile nelle campagne che puntano direttamente a credenziali e management plane invece che ai singoli server applicativi.
BridgeAgent mantiene il canale nascosto sui sistemi Linux
Sugli host Linux collegati al tunnel gli investigatori hanno recuperato anche BridgeAgent, backdoor mascherata da componente di monitoraggio Zabbix. L’impianto mantiene persistenza attraverso un servizio zabbix_agent.service eseguito come root, modifica il nome del processo per apparire come /usr/bin/gnome-shell e comunica con l’infrastruttura degli attaccanti attraverso TLS sulla porta 443. BridgeAgent può ricevere comandi e aprire reverse shell, creando un ulteriore livello di accesso indipendente dai router.
Fire Ant utilizza inoltre rootkit open source come Medusa e REPTILE, backdoor SSH custom e binari rinominati per imitare agenti di sicurezza SentinelOne e Cybereason. È un modello molto vicino a quello già osservato con Velvet Ant, che ha mantenuto persistenza per anni su Linux e dispositivi di rete spostandosi verso gli asset meno monitorati.
L’attaccante manipola anche le prove dell’incidente
Sygnia descrive un livello di defense evasion particolarmente aggressivo. Fire Ant sopprime log dei router, SNMP trap e richieste di autenticazione, disabilita SELinux sui sistemi Linux, riscrive la cronologia degli accessi e rimuove dai log i comandi privilegiati. Alcune backdoor restano operative in memoria anche dopo la cancellazione del relativo file dal disco. Questo significa che un’indagine basata esclusivamente sui log centrali o sui comandi di diagnostica del dispositivo può produrre una ricostruzione falsa o incompleta. Sygnia raccomanda quindi di trattare router, TACACS, hypervisor e jump host come asset forensi di primo livello, confrontando memoria, filesystem, traffico, autenticazioni e configurazioni. La stessa esigenza emerge nelle campagne APT cinesi caratterizzate da persistenza lunga, strumenti condivisi e forte manipolazione della telemetria.
L’attribuzione punta verso UNC3886 ma resta prudente
Sygnia osserva forti sovrapposizioni con UNC3886, cluster China-nexus documentato in precedenza da Mandiant per attacchi contro VMware, apparati edge e infrastrutture di autenticazione. La società evita però di formulare un’attribuzione definitiva e mantiene Fire Ant come propria denominazione operativa. La prudenza è importante perché strumenti, infrastrutture e TTP possono essere condivisi tra più cluster cinesi e una sovrapposizione tecnica non dimostra automaticamente un’identità perfetta degli operatori. La distinzione è la stessa applicata nelle recenti campagne Chinese-nexus contro VMware, dove la presenza di artefatti e comportamenti compatibili non viene trasformata automaticamente nell’attribuzione a un gruppo statale specifico.
Il bersaglio reale è l’infrastruttura “fidata”
L’aspetto più rilevante della campagna è la scelta degli asset. Router, server TACACS, hypervisor e sistemi di gestione vengono normalmente considerati infrastruttura di supporto, ma proprio per questo godono di privilegi e visibilità superiori agli endpoint. Se un attaccante controlla un router vede il traffico; se controlla TACACS vede le credenziali; se controlla l’hypervisor vede le macchine virtuali; se controlla il jump host raggiunge i segmenti amministrativi. Fire Ant sembra costruire una catena che sfrutta precisamente questa fiducia implicita.
È una strategia coerente con l’evoluzione dell’ecosistema cinese osservata anche nel caso QTFY, dove QScan e QTRouter industrializzavano router compromessi e percorsi proxy per sostenere operazioni di spionaggio.
Continua con:
- FBI spegne QScan e QTRouter: la Cina industrializza le reti proxy per lo spionaggio
- VMware vCenter sotto attacco: persistenza, furto credenziali e accesso agli host ESXi
Fire Ant mostra perché router e autenticazione devono entrare nell’EDR mentale dei difensori
La lezione operativa va oltre gli indicatori pubblicati da Sygnia. Un router non è soltanto un dispositivo che inoltra pacchetti e un server TACACS non è soltanto un componente di autenticazione: entrambi possono diventare piattaforme offensive capaci di osservare, nascondere e sostenere la compromissione di tutta la rete. Il modello Fire Ant rende quindi insufficiente un monitoraggio concentrato esclusivamente su workstation e server applicativi. I team di sicurezza devono includere nel threat hunting il management plane, verificare tunnel non documentati, confrontare configurazioni con commit history, controllare processi e file sui sistemi di autenticazione e validare i log contro fonti indipendenti. La crescita delle campagne cinesi contro router, hypervisor e infrastrutture di gestione mostra che il confine della rete non è più soltanto il punto da difendere: è diventato uno dei luoghi migliori in cui un attaccante può nascondersi.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
