Um agente de ciberespionagem com vínculo à China, monitorado como Fire Ant, ampliou uma campanha de longa duração além de hypervisors VMware para comprometer routers Cisco IOS XR, servidores do Terminal Access Controller Access-Control System (TACACS) e hosts Linux de administração usados para rotear, autenticar e gerenciar redes de alto valor.
A Sygnia, empresa de resposta a incidentes que investigou a intrusão, afirmou que o grupo transformou os routers comprometidos em plataformas de coleta, capturando tráfego de rede, coletando credenciais e suprimindo os logs e a telemetria dos quais os defensores dependem para reconstruir um ataque.
A empresa avaliou que o grupo de hackers usou esse ponto de apoio para explorar caminhos até ambientes conectados de alto valor, incluindo infraestrutura crítica. No entanto, a atividade contra essas redes se limitou a varreduras e tentativas de conexão, sem comprometimento confirmado.
Segundo a Sygnia, o controle dos routers deu ao agente uma posição privilegiada sobre o tráfego que circula por caminhos de rede confiáveis.
“Essa atividade reforça uma das observações centrais da investigação: quando um threat actor controla routers, ele não obtém apenas alcance. Ele obtém perspectiva”, afirmou a empresa.
A avaliação da Sygnia indica forte sobreposição com relatos públicos sobre UNC3886, um grupo de espionagem com vínculo à China conhecido por mirar plataformas de virtualização e dispositivos de borda de rede, embora o relatório ressalte que não faz uma atribuição conclusiva.
A Mandiant, que documentou o UNC3886 pela primeira vez, disse não ter encontrado sobreposição técnica entre o grupo e as operações chinesas separadas monitoradas como Salt Typhoon e Volt Typhoon.
A atividade de 2026 ocorre após a divulgação feita pela Sygnia, em julho de 2025, sobre o Fire Ant, que detalhou a exploração de ambientes VMware ESXi e vCenter antes da movimentação para as camadas de rede e administração.
A investigação começou com uma anomalia em um router Cisco IOS XR, onde uma interface de túnel Generic Routing Encapsulation (GRE) operava sem configuração em execução ou histórico de commit que explicasse sua criação. A Sygnia não identificou como o agente obteve o acesso inicial ao router.
Ao rastrear o túnel, os investigadores chegaram a um sistema Linux legado, a partir do qual o Fire Ant realizou repetidas tentativas de conexão e sondagens de portas contra portas administrativas e de serviços em redes conectadas, incluindo SSH, HTTP, SMB e RDP.
O malware para router foi desenvolvido especificamente para o plano de controle do IOS XR, e não para um appliance Linux genérico. Um dos componentes incorporava uma biblioteca de sistema modificada que verificava cada mensagem de log de saída em busca da palavra Health e só a encaminhava quando esse termo estava presente.
Outro componente alterava o caminho de execução de comandos do router para acrescentar um filtro | exclude aos comandos show, ocultando dos administradores a configuração do túnel criada pelo atacante ao inspecionar o dispositivo.
Em seguida, o Fire Ant usou os routers para capturar packet captures (PCAPs) de múltiplos dispositivos Cisco. As capturas foram enviadas para servidores FTP externos, sendo que um deles aparentemente havia sido instalado no mesmo dia em que os envios ocorreram.
No servidor TACACS, a Sygnia identificou um conjunto de ferramentas de coleta de credenciais conhecido como TacTap.
Um injetor chamado acppid carregou uma biblioteca maliciosa no processo de autenticação tac_plus em execução. A biblioteca interceptava as funções que aceitam novas conexões e então repassava os identificadores da sessão ativa a um segundo processo por meio de um socket Unix local.
As credenciais capturadas eram gravadas em /var/log/.tacplus.acct e levemente ofuscadas com uma chave XOR de um byte, 0xEF.
“Até onde sabemos, essa técnica específica de injeção de biblioteca no tac_plus não havia sido descrita publicamente antes, o que a torna uma evolução notável da tática de coleta de credenciais focada em TACACS do Fire Ant”, disse a Sygnia.
O roubo de credenciais em servidores TACACS é uma tática já estabelecida para esse cluster. A Mandiant já havia documentado o uso, pelo UNC3886, de um sniffer TACACS+ chamado LOOKOVER e a substituição do daemon tac_plus por uma versão com backdoor para registrar credenciais.
A Sygnia também recuperou uma segunda nova ferramenta, um backdoor Linux chamado BridgeAgent, implantado no host conectado ao túnel e disfarçado como um agente de monitoramento Zabbix.
O implante persistia por meio de uma unidade systemd zabbix_agent.service executada como root, mascarava seu processo como /usr/bin/gnome-shell e consultava a infraestrutura do atacante via TLS na porta 443 para receber comandos e instruções de reverse shell.
Nos hosts Linux de administração, o Fire Ant construiu uma camada durável de acesso usando os rootkits open source Medusa e REPTILE, backdoors SSH personalizados e binários renomeados e com carimbo de tempo alterado para se passarem pelos agentes de segurança de endpoint da SentinelOne e da Cybereason.
Vários desses componentes foram plantados em 2025 e reutilizados em atividade presencial em 2026. Pelo menos um backdoor continuou rodando na memória depois que seu arquivo foi apagado do disco, afirmou a Sygnia.
O agente também trabalhou para enfraquecer as próprias evidências ao suprimir logs de routers, traps SNMP e requisições de autenticação; desativar o SELinux nos hosts Linux; reescrever registros de histórico de login; e remover das linhas de comando privilegiadas as entradas presentes nos logs do sistema.
A Sygnia afirmou que routers, servidores TACACS, hypervisors e jump hosts devem ser tratados como ativos forenses de primeira linha, e que os investigadores devem validar os logs com base em evidências de memória, disco, rede, autenticação e configuração, e não em uma única fonte de telemetria.
A Sygnia publicou os seguintes indicadores de comprometimento (IoCs):
TacTap: o injetor /usr/sbin/acppid (SHA1 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00), a biblioteca injetada /lib/libseconfd.so (955cd45a2f6f226a2fdf44b329af1c8dde90cb38) e o arquivo de credenciais /var/log/.tacplus.acct, decodificado com a chave XOR 0xEF.
BridgeAgent: persistência por meio de uma unidade systemd zabbix_agent.service, configuração criptografada em /opt/.ICEauthority e command and control (C2) via TLS na porta 443.
Implantes para IOS XR: /usr/bin/acpid (be6b27f429324a4af05a310d8ec9635e37c68a94), /pkg/bin/dhcpd_show_issu_status (1682b652a15bde732489f22809b0b7594c228fd3), /pkg/bin/hd (b149fa3a34bd585e7a674a4fd9538437bd06f514) e o script de persistência /etc/rc.d/init.d/grub-rommon.
Backdoor VMCI: /var/tmp/audit (13f0c2a598e3aa63856c032a96b110aed963f0e8), com comunicação por sockets do VMware Virtual Machine Communication Interface (VMCI).
Backdoor acionado por pacotes: /var/tmp/ping (5ba1242050b5b447052b210788a5a25593d6987d), ativado nas portas TCP 443, 541, 8443 e 10443 e na porta de origem UDP 40443 para a porta de destino 500, acionado pela string sxcdewqaz!@#.
O conjunto completo de indicadores e as regras YARA estão disponíveis no relatório da empresa.
A atividade é paralela à coleta de tráfego em routers e TACACS+ atribuída ao Salt Typhoon em um comunicado conjunto liderado pela CISA em agosto de 2025, outro cluster de espionagem chinês que capturou dados de pacotes de routers comprometidos para coletar credenciais de administradores em redes de telecomunicações.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...