Χάκερ με διασυνδέσεις στην Κίνα χρησιμοποιούν δρομολογητές της Cisco για κατασκοπεία

Μια ομάδα χάκερ με διασυνδέσεις στην Κίνα, γνωστή ως Fire Ant, επέκτεινε τις επιχειρήσεις κατασκοπείας της από περιβάλλοντα VMware σε δρομολογητές της Cisco ↘ 3.76%, παραβιάζοντας υποδομές δικτύου για τη συλλογή διαπιστευτηρίων, την υποκλοπή κίνησης και τη δημιουργία μακροχρόνιων ερεισμάτων σε δίκτυα υψηλής αξίας, σύμφωνα με έρευνα που δημοσιεύθηκε την Κυριακή από την εταιρεία κυβερνοασφάλειας Sygnia.sygnia

Η εκστρατεία σηματοδοτεί μια εξέλιξη για τη Fire Ant, η οποία έγινε γνωστή το 2025 για την εκμετάλλευση περιβαλλόντων VMware ESXi και vCenter. Η ομάδα στοχεύει πλέον δρομολογητές Cisco IOS XR, διακομιστές πιστοποίησης TACACS και συστήματα διαχείρισης Linux, υποδομές που οι οργανισμοί συχνά παραμελούν ως παρωχημένες, παρόλο που αποτελούν τη ραχοκοκαλιά της δρομολόγησης και του ελέγχου πρόσβασης.cybersecuritydive

Στο επίκεντρο της επίθεσης

Η έρευνα της Sygnia ξεκίνησε αφού οι αναλυτές ανακάλυψαν μια ενεργή διεπαφή σήραγγας Generic Routing Encapsulation σε έναν δρομολογητή Cisco IOS XR, η οποία δεν δικαιολογούνταν από τη διαμόρφωση της συσκευής, υποδεικνύοντας ότι η επιχειρησιακή κατάσταση του δρομολογητή είχε αλλοιωθεί.bleepingcomputer

"Η Fire Ant δεν παραβίασε απλώς συστήματα. Παραβίασε το επίπεδο εμπιστοσύνης στο οποίο βασίζονται αυτά τα συστήματα", δήλωσε ο Asaf Perlman, διευθυντής απόκρισης περιστατικών στη Sygnia. Οι επιτιθέμενοι μετέτρεψαν τους δρομολογητές σε πλατφόρμες συλλογής δεδομένων, υποκλέπτοντας κίνηση από πολλαπλές συσκευές και ανεβάζοντας τα αρχεία PCAP σε εξωτερικούς διακομιστές FTP. Αυτές οι καταγραφές θα μπορούσαν να αποκαλύψουν την εσωτερική τοπολογία, τις ροές πιστοποίησης και την κίνηση που ανταλλάσσεται με συνδεδεμένα δίκτυα.sygnia+1

Η ομάδα χρησιμοποίησε δύο νέα εργαλεία: το BridgeAgent, μια κερκόπορτα μεταμφιεσμένη σε νόμιμο πράκτορα παρακολούθησης Zabbix που υποστηρίζει reverse shells μέσω TLS, και το TacTap, ένα εργαλείο συλλογής διαπιστευτηρίων που υποκλέπτει συνεδρίες πιστοποίησης σε διακομιστές TACACS. Η Fire Ant χειραγώγησε επίσης συστηματικά τα αρχεία καταγραφής, απέκρυψε μηνύματα syslog σχετικά με τη δραστηριότητα της σήραγγας και τροποποίησε τα χρονικά σήματα των αρχείων για να εμποδίσει τη δικανική έρευνα.cybersecuritydive+2

Ένα ευρύτερο μοτίβο

Η Sygnia περιέγραψε την προσέγγιση της Fire Ant ως στρατηγική "στόχος πίσω από τον στόχο", παραβιάζοντας έμπιστες υποδομές σε έναν οργανισμό για να εξερευνήσει διαδρομές πρόσβασης σε άλλα συνδεδεμένα περιβάλλοντα υψηλής αξίας, συμπεριλαμβανομένων κρίσιμων υποδομών. Η εταιρεία ανέφερε ότι η δραστηριότητα συμπίπτει σε μεγάλο βαθμό με την UNC3886, μια κινεζική ομάδα κατασκοπείας που είχε τεκμηριωθεί προηγουμένως από την Google Alphabet Inc. ↘ 1.45%, αν και παραμένουν διαφορές στα ονόματα αρχείων και στις λεπτομέρειες υλοποίησης.sygnia+1

Η εκστρατεία προστίθεται σε ένα μοτίβο κρατικών φορέων που στοχεύουν εξοπλισμό δικτύωσης. Η UNC3886 είχε παραβιάσει στο παρελθόν δρομολογητές Juniper MX χρησιμοποιώντας προσαρμοσμένες κερκόπορτες, ενώ οι συσκευές της Cisco αποτελούν συχνό στόχο για εξελιγμένες ομάδες απειλών λόγω της έμπιστης πρόσβασης που παρέχουν.cybersecuritydive

Αυξανόμενες ανησυχίες

Τα ευρήματα έρχονται εν μέσω ευρύτερων προειδοποιήσεων για κρατικά υποκινούμενες κυβερνοαπειλές κατά κρίσιμων υποδομών. Μια πρόσφατη οδηγία της CISA περιέγραψε κακόβουλη δραστηριότητα που στόχευε περισσότερα από 100 εκτεθειμένα στο διαδίκτυο συστήματα στον τομέα ύδρευσης και αποχέτευσης τον Ιούλιο του 2026, ενώ αναλυτές έχουν προειδοποιήσει ότι κρατικοί φορείς ενδέχεται να έχουν αποκτήσει ερείσματα σε βασικούς κλάδους της βιομηχανίας σε συστηματική βάση.iapp

Η Sygnia κάλεσε τις ομάδες ασφαλείας να περιορίσουν την προνομιακή πρόσβαση στις υποδομές διαχείρισης δικτύου, να παρακολουθούν για απρόσμενες διεπαφές σήραγγας και να συγκεντρώνουν την τηλεμετρία πιστοποίησης εκτός των διαχειριζόμενων συσκευών, ώστε τα αποδεικτικά στοιχεία σε ένα παραβιασμένο σύστημα να μην μπορούν να χειραγωγηθούν εύκολα. Εκπρόσωπος της Cisco δεν ήταν άμεσα διαθέσιμος για σχόλιο.cybersecuritydive