A Fire Ant fejlődése: a hypervisoroktól a “megbízható” hálózati infrastruktúráig
A Sygnia biztonsági cég új, augusztus 27-i mélyelemzése szerint a 2025-ben elsőként azonosított, kínai kötődésű Fire Ant csoport (amelyet a nyilvános jelentések erős átfedésben állnak a Mandiant által dokumentált UNC3886-tal) 2026-ban továbblépett a hypervisorok (VMware ESXi, vCenter) feltöréséről, és immár a hálózatokat összekötő, adminisztráló és hitelesítő “megbízható infrastruktúrát” – routereket, TACACS-hitelesítési szervereket és Linux menedzsment-gépeket – veszi célba. A kutatók szerint ez alapvető stratégiaváltást jelent: a csoport nem egyes végpontokat vagy szervereket próbál kompromittálni, hanem azokat a rendszereket, amelyektől más rendszerek működése függ. A Sygnia szerint a kampány mögötti stratégiai cél a “célpont a célpont mögött” elve: egy szervezet feltörése “hidat” jelenthet más, magas értékű – akár kritikus infrastruktúrához tartozó – hálózatok felé is, mivel az routerek, hitelesítő szerverek és menedzsment-gépek nem elszigetelt belső rendszerek, hanem a kapcsolódó hálózatokat összekötő, megbízhatónak vélt réteg részei.
A technikai részletek kifejezetten aggasztóak: a támadók egyedi, kifejezetten a Cisco IOS XR vezérlési rétegére szabott kártevőket telepítettek, amelyek képesek elnyomni a naplózást, manipulálni a parancskimenetet, és interaktív terminálhozzáférést biztosítani – emellett a feltört routereket forgalomgyűjtő platformmá alakították, PCAP-fájlokat exportálva külső FTP-szerverekre. A csoport ezen túl kifejezetten a hitelesítési réteget is célba vette: a TACACS-szolgáltatásba (tac_plus folyamatba) egy korábban nyilvánosan nem dokumentált könyvtár-befecskendezéses technikával (“TacTap”) jutott be, amellyel valós időben lehallgatta az elfogadott hitelesítési munkameneteket, és XOR-kódolt hitelesítő adat-archívumot hozott létre. A Linux menedzsment-gépeken pedig egy tartós, réteges hozzáférési architektúrát épített ki: Medusa rootkitet, egyedi SSH backdoorokat, biztonsági szoftvereket (SentinelOne, Cybereason) utánzó, csomag által aktivált (packet-triggered) backdoorokat, valamint a bash-előzmények elnyomását és a törölt, de memóriában futó folyamatokat is alkalmazott.
A jelentés talán legfontosabb megállapítása, hogy a Fire Ant szisztematikusan “hazug infrastruktúrát” hozott létre: a routereken, a TACACS-szervereken és a Linux-gépeken egyaránt módosította vagy megkerülte azokat a naplózási forrásokat, amelyekre a védekezők a rekonstrukció során hagyatkoznak – például a /var/log/wtmp, utmp és btmp bejelentkezési naplókban lecserélte a feltört router IP-címét egy belső címre, és eltávolította a sudo-val kapcsolatos bejegyzéseket. A kutatók szerint ez azt jelenti, hogy a vizsgálóknak nem szabad egyetlen naplóforrásra hagyatkozniuk, hanem memória-, lemez-, hálózati, hitelesítési és konfigurációs bizonyítékokat is vizsgálni kell.
A kutatók négyfázisú működési modellt (kontroll megszerzése – gyűjtés – tartós hozzáférés kiépítése – a bizonyítékok eltüntetése) és részletes fenyegetésvadászati útmutatót is közzétettek, hangsúlyozva, hogy a védekezésnek nem egyedi fájlnevekre vagy hash-ekre, hanem viselkedési mintázatokra és eszközszerepekre kell fókuszálnia. A jelentés végkövetkeztetése szerint az érett kémkedési szereplők – köztük a Fire Ant – ma már nem csupán végpontokat, szervereket vagy felhőalapú munkaterheléseket céloznak, hanem azt a réteget, amely a rendszerek közötti bizalmat, elérhetőséget és láthatóságot megteremti.
