Kiinalaishakkerit käyttävät Ciscon reitittimiä vakoiluun

Kiinalaistaustainen Fire Ant -hakkeriryhmä on laajentanut vakoiluoperaatioitaan VMware-ympäristöistä Ciscon ↘ 0.98% reitittimiin. Kyberturvallisuusyhtiö Sygnian sunnuntaina julkaiseman tutkimuksen mukaan ryhmä on vaarantanut keskeistä verkkoinfrastruktuuria kerätäkseen tunnuksia, kaapatakseen liikennettä ja luodakseen pitkäaikaisia jalansijoja arvokkaisiin verkkoihin.sygnia

Kampanja merkitsee kehitysaskelta Fire Antille, joka nousi julkisuuteen vuonna 2025 hyökkäyksistään VMware ESXi- ja vCenter-ympäristöihin. Ryhmä kohdistaa nyt iskunsa Cisco IOS XR -reitittimiin, TACACS-todennuspalvelimiin ja Linux-hallintaisäntiin. Nämä ovat infrastruktuurin osia, joita organisaatiot usein pitävät vanhentuneena teknologiana, vaikka ne toimivat reitityksen ja pääsynvalvonnan selkärankana.cybersecuritydive

Hyökkäyksen yksityiskohdat

Sygnian tutkinta alkoi, kun tutkijat löysivät Cisco IOS XR -reitittimestä aktiivisen GRE-tunnelirajapinnan (Generic Routing Encapsulation), jota laitteen konfiguraatio tai muutoshistoria eivät selittäneet. Tämä osoitti, että reitittimen toimintatilaa oli peukaloitu.bleepingcomputer

"Fire Ant ei vain vaarantanut järjestelmiä. Se vaaransi luottamuskerroksen, josta nämä järjestelmät ovat riippuvaisia", totesi Sygnian reagointijohtaja Asaf Perlman. Hyökkääjät muuttivat reitittimet tiedonkeruualustoiksi, jotka kaappasivat liikennettä useista laitteista ja lähettivät PCAP-tiedostot ulkoisille FTP-palvelimille. Nämä kaappaukset voivat paljastaa sisäisen topologian, todennusvirrat ja yhteydet muihin verkkoihin.sygnia+1

Ryhmä käytti kahta uutta työkalua: BridgeAgentia, joka on lailliseksi Zabbix-valvonta-agentiksi naamioitu takaovi, ja TacTap-työkalua, joka kaappaa todennusistuntoja TACACS-palvelimilla. Fire Ant manipuloi myös järjestelmällisesti lokeja, vaimensi tunnelitoimintaan liittyviä syslog-viestejä ja muutti tiedostojen aikaleimoja tutkinnan vaikeuttamiseksi.cybersecuritydive+2

Laajempi kuvio

Sygnia kuvaili Fire Antin lähestymistapaa "kohteen takana oleva kohde" -strategiaksi, jossa vaarantamalla yhden organisaation luotettua infrastruktuuria pyritään löytämään reittejä muihin kytkettyihin arvokkaisiin ympäristöihin, mukaan lukien kriittinen infrastruktuuri. Yhtiön mukaan toiminta liittyy vahvasti UNC3886-ryhmään, jonka Google Alphabet Inc. ↗ 1.60% on aiemmin dokumentoinut, vaikka tiedostonimissä ja toteutuksessa on eroja.sygnia+1

Kampanja on jatkoa valtioiden tukemien toimijoiden verkkolaitteisiin kohdistuville iskuille. UNC3886 on aiemmin vaarantanut Juniper MX -reitittimiä räätälöidyillä takaovilla, ja Cisco-laitteet ovat olleet toistuvasti kehittyneiden ryhmien kohteena niiden tarjoaman luotetun pääsyn vuoksi.cybersecuritydive

Kasvava huoli

Havainnot tulevat laajemman kriittiseen infrastruktuuriin kohdistuvien valtiojohtoisten kyberuhkien varoitusten keskellä. CISA:n tuoreessa suosituksessa kuvattiin heinäkuussa 2026 yli 100 internetille altistuneeseen vesi- ja jätevesisektorin järjestelmään kohdistunutta haitallista toimintaa. Analyytikot ovat varoittaneet, että valtiolliset toimijat ovat saattaneet kerätä jalansijoja keskeisillä toimialoilla järjestelmällisesti.iapp

Sygnia kehottaa tietoturvatiimejä rajoittamaan verkon hallintainfrastruktuurin käyttöoikeuksia, valvomaan odottamattomia tunnelirajapintoja ja keskittämään todennuksen telemetriatiedot hallittujen laitteiden ulkopuolelle, jotta vaarantuneen järjestelmän todisteita ei voida helposti manipuloida. Ciscon edustaja ei ollut välittömästi tavoitettavissa kommentteja varten.cybersecuritydive