Չինաստանի հետ կապված հաքերները լրտեսության համար օգտագործում են Cisco երթուղիչները

Չինաստանի հետ կապված Fire Ant սպառնալիքի դերակատարը ընդլայնել է իր լրտեսական գործողությունները VMware միջավայրերից դեպի Cisco ↘ 0.98% երթուղիչներ՝ վտանգելով ցանցային հիմնական ենթակառուցվածքը՝ հավատարմագրեր հավաքելու, երթևեկությունը գրավելու և բարձր արժեք ունեցող ցանցերում երկարաժամկետ հենակետեր հաստատելու համար, ըստ կիբերանվտանգության Sygnia ընկերության կիրակի օրը հրապարակված հետազոտության:sygnia

Այս արշավը նշանավորում է Fire Ant-ի էվոլյուցիան, որը 2025 թվականին ուշադրության կենտրոնում էր հայտնվել VMware ESXi և vCenter միջավայրերը շահագործելու համար: Խումբն այժմ թիրախավորում է Cisco IOS XR երթուղիչները, TACACS նույնականացման սերվերները և Linux կառավարման հոսթերը՝ ենթակառուցվածքներ, որոնք կազմակերպությունները հաճախ անտեսում են որպես հնացած տեխնոլոգիա, սակայն դրանք ծառայում են որպես երթուղավորման և մուտքի վերահսկման հիմնասյուն:cybersecuritydive

Հարձակման մանրամասները

Sygnia-ի հետաքննությունը սկսվել է այն բանից հետո, երբ հետազոտողները հայտնաբերել են ակտիվ Generic Routing Encapsulation թունելի ինտերֆեյս Cisco IOS XR երթուղիչի վրա, որը չէր կարող բացատրվել սարքի աշխատանքային կոնֆիգուրացիայով կամ փոփոխությունների պատմությամբ, ինչը վկայում է, որ երթուղիչի աշխատանքային վիճակը ենթարկվել է միջամտության:bleepingcomputer

"Fire Ant-ը պարզապես չի վտանգել համակարգերը: Այն վտանգել է վստահության շերտը, որի վրա հիմնված են այդ համակարգերը", — ասել է Sygnia-ի միջադեպերի արձագանքման տնօրեն Ասաֆ Պերլմանը: Հարձակվողները երթուղիչները վերածել են հավաքագրման հարթակների՝ գրավելով երթևեկությունը բազմաթիվ սարքերից և վերբեռնելով ստացված PCAP ֆայլերը արտաքին FTP սերվերներ: Այս գրավումները կարող են բացահայտել ներքին տոպոլոգիան, նույնականացման հոսքերը և կապակցված ցանցերի հետ փոխանակվող երթևեկությունը:sygnia+1

Խումբը տեղակայել է երկու նոր գործիք՝ BridgeAgent, որը քողարկված է որպես օրինական Zabbix մոնիտորինգի գործակալ և աջակցում է TLS reverse shells, և TacTap՝ հավատարմագրերի հավաքագրման գործիքակազմ, որը որսում է TACACS սերվերների նույնականացման նիստերը: Fire Ant-ը նաև համակարգված կերպով մանիպուլյացիայի է ենթարկել գրանցամատյանները, ճնշել է թունելի գործունեության հետ կապված syslog հաղորդագրությունները և փոփոխել ֆայլերի ժամանակային դրոշմները՝ դատաբժշկական հետաքննությունը խոչընդոտելու համար:cybersecuritydive+2

Ավելի լայն պատկեր

Sygnia-ն Fire Ant-ի մոտեցումը նկարագրել է որպես "թիրախ թիրախի հետևում" ռազմավարություն՝ վտանգելով վստահելի ենթակառուցվածքը մեկ կազմակերպությունում՝ այլ կապակցված բարձր արժեք ունեցող միջավայրեր, ներառյալ կրիտիկական ենթակառուցվածքները, մուտք գործելու ուղիներ ուսումնասիրելու համար: Ընկերությունը նշել է, որ գործունեությունը ուժեղ համընկնում է UNC3886-ի հետ՝ չինական լրտեսական խումբ, որը նախկինում փաստագրվել է Google Alphabet Inc. ↗ 1.60%-ի կողմից, թեև ֆայլերի անունների և իրականացման մանրամասների մեջ տարբերություններ կան:sygnia+1

Արշավը ավելանում է ցանցային սարքավորումները թիրախավորող պետական դերակատարների օրինաչափությանը: UNC3886-ը նախկինում վտանգել էր Juniper MX երթուղիչները՝ օգտագործելով հատուկ հետին դռներ, և Cisco սարքերը բարդ սպառնալիքների խմբերի համար կրկնվող թիրախ են եղել՝ իրենց տրամադրած վստահելի մուտքի պատճառով:cybersecuritydive

Աճող մտահոգություններ

Բացահայտումները հայտնվում են կրիտիկական ենթակառուցվածքների նկատմամբ պետական աջակցություն ունեցող կիբերսպառնալիքների վերաբերյալ ավելի լայն նախազգուշացումների ֆոնին: CISA-ի վերջին խորհրդատվությունը մանրամասնել է չարամիտ գործունեությունը, որը թիրախավորել է 2026 թվականի հուլիսին ջրամատակարարման և կոյուղու ոլորտի ավելի քան 100 ինտերնետային համակարգեր, մինչդեռ վերլուծաբանները նախազգուշացրել են, որ պետությունները կարող են համակարգային հիմունքներով հենակետեր կուտակել հիմնական արդյունաբերական ուղղահայացներում:iapp

Sygnia-ն անվտանգության թիմերին հորդորել է սահմանափակել ցանցի կառավարման ենթակառուցվածքի արտոնյալ մուտքը, վերահսկել անսպասելի թունելային ինտերֆեյսները և կենտրոնացնել նույնականացման հեռաչափությունը կառավարվող սարքերից դուրս, որպեսզի վտանգված համակարգի ապացույցները հեշտությամբ չկեղծվեն: Cisco-ի խոսնակը անմիջապես հասանելի չէր մեկնաբանության համար:cybersecuritydive