Kinalänkade hackare utnyttjar Cisco-routrar för spionage

En Kinalänkad hotaktör känd som Fire Ant har utökat sina spionageoperationer från VMware-miljöer till Cisco ↘ 3.76%-routrar. De har komprometterat kärnnätverksinfrastruktur för att samla in inloggningsuppgifter, fånga upp trafik och etablera långsiktiga fotfästen i värdefulla nätverk, enligt forskning som publicerades på söndagen av cybersäkerhetsföretaget Sygnia.sygnia

Kampanjen markerar en utveckling för Fire Ant, som uppmärksammades 2025 för utnyttjande av VMware ESXi- och vCenter-miljöer. Gruppen riktar nu in sig på Cisco IOS XR-routrar, TACACS-autentiseringsservrar och Linux-hanteringsvärdar, infrastruktur som organisationer ofta förbiser som äldre teknik men som utgör ryggraden för routning och åtkomstkontroll.cybersecuritydive

Inuti attacken

Sygnias utredning inleddes efter att forskare upptäckt ett aktivt Generic Routing Encapsulation-tunnelgränssnitt på en Cisco IOS XR-router som inte kunde förklaras av enhetens konfiguration eller ändringshistorik, vilket indikerade att routerns driftstatus hade manipulerats.bleepingcomputer

"Fire Ant komprometterade inte bara system. De komprometterade det förtroendeskikt som dessa system är beroende av," säger Asaf Perlman, chef för incidenthantering hos Sygnia. Angriparna förvandlade routrar till insamlingsplattformar, fångade upp trafik från flera enheter och laddade upp PCAP-filer till externa FTP-servrar. Dessa upptagningar kan avslöja intern topologi, autentiseringsflöden och trafik som utväxlas med anslutna nätverk.sygnia+1

Gruppen använde två nya verktyg: BridgeAgent, en bakdörr maskerad som en legitim Zabbix-övervakningsagent som stöder TLS-omvända skal, och TacTap, ett verktyg för insamling av inloggningsuppgifter som avlyssnar autentiseringssessioner på TACACS-servrar. Fire Ant manipulerade också loggar systematiskt, undertryckte syslog-meddelanden kopplade till tunnelaktivitet och ändrade fil-tidsstämplar för att försvåra rättsteknisk utredning.cybersecuritydive+2

Ett bredare mönster

Sygnia beskrev Fire Ant-metoden som en "mål bakom målet"-strategi, där de komprometterar betrodd infrastruktur i en organisation för att utforska åtkomstvägar till andra anslutna miljöer med högt värde, inklusive kritisk infrastruktur. Företaget uppger att aktiviteten överlappar starkt med UNC3886, en kinesisk spionagegrupp tidigare dokumenterad av Google Alphabet Inc. ↘ 1.45%, även om skillnader i filnamn och implementeringsdetaljer kvarstår.sygnia+1

Kampanjen adderar till ett mönster där statliga aktörer riktar in sig på nätverksutrustning. UNC3886 komprometterade tidigare Juniper MX-routrar med hjälp av anpassade bakdörrar, och Cisco-enheter har varit ett återkommande mål för sofistikerade hotgrupper på grund av den betrodda åtkomst de ger.cybersecuritydive

Växande oro

Resultaten kommer mitt i bredare varningar om statligt stödda cyberhot mot kritisk infrastruktur. En nyligen publicerad CISA-rådgivning detaljerade skadlig aktivitet riktad mot mer än 100 internetexponerade system inom vatten- och avloppssektorn i juli 2026, medan analytiker har varnat för att nationalstater kan ha etablerat fotfästen över viktiga industrisektorer på ett systematiskt sätt.iapp

Sygnia uppmanade säkerhetsteam att begränsa privilegierad åtkomst till nätverkshanteringsinfrastruktur, övervaka för oväntade tunnelgränssnitt och centralisera autentiseringstelemetri utanför hanterade enheter, så att bevis på ett komprometterat system inte enkelt kan manipuleras. En talesperson för Cisco var inte omedelbart tillgänglig för en kommentar.cybersecuritydive