Compania de incident response Sygnia a publicat la 27 august 2026 rezultatele unei investigații în care actorul urmărit sub numele Fire Ant a compromis infrastructura folosită pentru rutare, autentificare și administrare. Cercetătorii au găsit routere Cisco IOS XR transformate în platforme pentru acces ascuns, colectare de trafic și manipularea dovezilor, alături de servere TACACS și sisteme Linux de management compromise.
De ce compromiterea stratului de încredere schimbă investigația
Routerul, serverul de autentificare și jump host-ul sunt adesea tratate ca surse de adevăr. Ele spun pe unde a circulat traficul, cine s-a autentificat și ce configurație era activă. În cazul investigat, Fire Ant a urmărit tocmai aceste sisteme. Când atacatorul poate filtra logurile, modifica rezultatul comenzilor și intercepta fluxuri de autentificare, o verificare făcută doar din consola dispozitivului riscă să confirme povestea construită de atacator.
- Pe routerele IOS XR, instrumentele observate puteau ascunde elemente de configurare și suprima selectiv mesaje de jurnal.
- Pe infrastructura TACACS, Sygnia a identificat un mecanism pentru interceptarea sesiunilor și colectarea credențialelor administrative.
- Pe sistemele Linux de management au fost folosite implanturi persistente și canale outbound pentru control.
- Infrastructura compromisă putea oferi vizibilitate asupra traficului și o cale către medii conectate cu valoare ridicată.
- Cercetătorii au observat explorare și încercări de conectare către rețele asociate infrastructurii critice, nu compromiterea confirmată a acestora.
Ce este confirmat și ce rămâne necunoscut
- Confirmat de investigația Sygnia: compromiterea unor routere Cisco IOS XR, sisteme TACACS și gazde Linux de administrare.
- Confirmat de analiza tehnică: instrumente create pentru persistență, colectare de trafic sau credențiale și manipularea telemetriei.
- Evaluat de Sygnia: Fire Ant este un actor cu legături în ecosistemul chinez și cu suprapuneri față de activități raportate anterior.
- Necunoscut public: punctul inițial de acces în cazul nou, numărul victimelor și distribuția lor geografică.
- Neconfirmat public: compromiterea rețelelor critice conectate, un impact operațional larg sau existența unei vulnerabilități Cisco comune tuturor clienților.
Răspunsul nu poate depinde de aceeași infrastructură suspectă
O investigație credibilă compară surse care nu pot fi modificate toate prin același punct de control. Configurația dispozitivului trebuie confruntată cu copii de siguranță cunoscute, capturi și fluxuri colectate separat, jurnale ale sistemelor vecine, inventarul de software și dovezi de pe mediul de administrare. Dacă identitatea privilegiată a trecut prin TACACS compromis, rotația trebuie să includă conturile, cheile, tokenurile și secretele care ar fi putut fi observate.
- Păstrează copii de configurație și loguri într-un domeniu administrativ separat de echipamentele monitorizate.
- Validează diferențele dintre starea operațională, configurația salvată și evidențele externe de change management.
- Tratează credențialele administrative folosite în perioada suspectă ca potențial expuse până la verificare și rotație.
- Verifică gazdele de management și serverele de autentificare, nu doar routerul pe care a apărut prima anomalie.
- Definește criterii de reconectare bazate pe integritate, software cunoscut, configurație verificată și noi credențiale.
Cine trebuie să exerseze și ce decizie îi aparține
- Administratorii de rețea verifică starea dispozitivelor prin surse independente și pregătesc înlocuirea sau reconstruirea controlată.
- Echipa de identitate delimitează conturile, cheile și sesiunile care au traversat infrastructura TACACS și coordonează rotația.
- SOC-ul caută contradicții între loguri, telemetrie de rețea, schimbări aprobate și activitatea gazdelor de management.
- Incident commander-ul decide izolarea fără să piardă simultan accesul la rețele critice sau dovezile necesare.
- Conducerea aprobă continuitatea, resursele și comunicarea fără să transforme evaluarea de atribuire într-un fapt cert.
Tabletop: când consola spune că totul este normal
Exercițiul trebuie să testeze neîncrederea controlată, nu reacția impulsivă. Oprirea imediată a tuturor routerelor poate provoca exact impactul pe care organizația încearcă să îl evite. Pentru fiecare inject cere echipei să aleagă sursa de adevăr, ordinea izolării și dovada necesară pentru următoarea decizie.
- Inject 1 — apare un tunel activ care nu există în configurația afișată sau în istoricul schimbărilor. Ce surse verifici înainte să modifici dispozitivul?
- Inject 2 — unele mesaje lipsesc din syslog, dar nu există alertă de întrerupere a colectării. Cum demonstrezi dacă jurnalizarea este completă?
- Inject 3 — investigația indică interceptarea autentificărilor TACACS. Ce credențiale rotești, în ce ordine și prin ce infrastructură sigură?
- Inject 4 — routerul asigură conectivitatea către un serviciu critic. Cum îl izolezi sau îl înlocuiești fără o întrerupere necontrolată?
- Inject 5 — presa întreabă dacă un actor de stat chinez controlează infrastructura critică. Cum separi cercetarea, evaluarea de atribuire și impactul confirmat?
Indicatori pentru un exercițiu reușit
- Timpul până la identificarea unei surse de log și configurație administrate separat.
- Timpul până la delimitarea tuturor conturilor și cheilor care au folosit infrastructura suspectă.
- Procentul schimbărilor de rețea care pot fi corelate cu o aprobare și o dovadă externă dispozitivului.
- Timpul până la stabilirea unei căi alternative de administrare și comunicare.
- Procentul participanților care nu confundă scanarea unei rețele cu compromiterea ei.
- Calitatea criteriilor de revenire: integritate, configurație, credențiale, telemetrie și continuitate.
Lecția Fire Ant nu este că orice router Cisco este compromis. Lecția este că infrastructura privilegiată trebuie monitorizată și verificată ca un sistem critic, nu presupusă sigură. Când stratul care transportă traficul, validează administratorii și generează logurile este afectat, răspunsul trebuie construit din dovezi independente și decizii coordonate.