LONDON (IT BOLTWISE) – Der China-nexus Threat Actor Fire Ant hat nach einer VMware-Phase gezielt Cisco IOS XR-Router und die Authentifizierungsschicht dahinter übernommen. Auf den Geräten wurden Paketdaten abgegriffen, Anmeldedaten aus TACACS gesammelt und gleichzeitig Logging sowie Telemetrie unterdrückt. Laut Sygnia bleibt die Aktivität gegen besonders geschützte Ziele bislang bei Scans und Verbindungsversuchen, doch der gewonnene Router-Blick auf Transportwege erhöht den Auswertungsdruck für Verteidiger. Entscheidend ist nun, Routern, TACACS-Servern und Linux-Managementhosts als zentrale Forensik-Assets zu behandeln.
Im Zentrum der neuen Erkenntnisse steht ein technisch ungewöhnlicher Schritt: Fire Ant nutzt kompromittierte Cisco IOS XR-Router nicht nur als „Zugangspunkt“, sondern als Plattform für Sicht, Sammlung und Verschleierung. Die von Sygnia untersuchte Kampagne zeigt, wie schnell sich ein Angreifer von der anfänglichen Ausnutzung einer Plattformebene in Richtung Netzwerk- und Verwaltungsdomäne bewegen kann. Dabei geht es nicht allein um Reichweite. Sobald ein Angreifer Routen- und Kontrollpfade kontrolliert, entsteht eine Art strategische Beobachtungsposition über den Verkehr, der über vertrauenswürdige Pfade läuft.
Sygnia ordnet die Aktivität einer China-nexus Spionagegruppe zu, verweist jedoch ausdrücklich darauf, dass keine abschließende Attribution vorliegt. Der technische Verlauf führt über eine Anomalie an einem IOS XR-Router: Eine GRE-Tunnel-Interface war aktiv, ohne dass ein „running configuration“-Eintrag oder ein Commit-Historieneintrag die Einrichtung plausibilisieren würde. Auch wenn Sygnia den ersten Zugriff auf das System nicht rekonstruieren konnte, lässt sich aus dem weiteren Pfad die Angriffslogik ableiten: Die Spur des Tunnels führte zu einem Legacy-Linux-System, von dem aus wiederholte Verbindungsversuche und Port-Probing gegen Administrations- und Service-Ports auf verbundenen Netzwerken liefen. Genannt werden unter anderem SSH, HTTP, SMB und RDP.
Der maßgeschneiderte Charakter der Router-Komponente sticht besonders hervor. Die Malware war offenbar nicht einfach „Linux auf dem Router“, sondern für den IOS-XR-Control-Plane-Prozess ausgelegt. Ein eingebetteter, modifizierter Systemlibrary-Mechanismus prüfte jedes ausgehende Log-Element auf das Auftreten des Strings „Health“ und leitete nur dann weiter, was damit die normalen Hinweise im Logging weitgehend ausblendet. Zusätzlich veränderte Fire Ant den Pfad für die Kommandoausführung, indem es einen „| exclude“-Filter an das Anzeigen von Kommandos anhängte. So blieb die kritische Tunnel-Konfiguration für Administratoren, die das Gerät im Betrieb inspizieren, deutlich schwerer erkennbar.
Für die weitere Eskalation wurden die kompromittierten Router zu Datensammlern: Fire Ant erzeugte Paketaufzeichnungen (PCAPs) von mehreren Cisco-Geräten und lud sie anschließend auf externe FTP-Server hoch, wobei laut Sygnia mindestens ein Ziel offenbar am selben Tag eingerichtet wurde, an dem die Uploads stattfanden. Das ist mehr als nur „Traffic-Diebstahl“; es zeigt, dass die Angreifer den Netzwerkverkehr nicht nur als Nebenprodukt betrachten, sondern bewusst als forensisch verwertbares Material für spätere Bewegungen einsetzen. Parallel dazu verschiebt sich der Fokus auf die Authentifizierungsschicht: Auf dem TACACS-Server identifizierte Sygnia ein Toolset namens TacTap, bei dem ein Injector („acppid“) eine manipulierte Bibliothek in den laufenden tac_plus Authentifizierungsprozess einschleust.
Die technische Ausgestaltung der TACACS-Phase ist dabei einer der Punkte, die in der Untersuchung als weiterentwickelt beschrieben werden. Die injizierte Bibliothek „hookte“ Funktionen, die neue Verbindungen akzeptieren, übergab anschließend Live-Session-Handles an einen zweiten Prozess über einen lokalen Unix-Socket und schrieb die erfassten Credentials in die Datei „/var/log/.tacplus.acct“. Um die Datenbasis für den Abtransport aufzubereiten, erfolgte zudem eine leichte Obfuskation mit einer Ein-Byte-XOR-„Key“-Konstante von 0xEF. Sygnia hebt hervor, dass diese spezifische Bibliotheks-Injection im Kontext von tac_plus nach eigenem Wissen öffentlich zuvor nicht beschrieben worden sei. Ergänzend verweist die Analyse darauf, dass Credential-Theft aus TACACS+ im Umfeld der Gruppe als bewährtes Tradecraft gilt: Bereits dokumentierte Berichte zu UNC3886 nennen etwa einen TACACS+-Sniffer (LOOKOVER) und das Ersetzen des tac_plus Daemons durch eine präparierte Version, die ebenfalls Credentials mitschneidet.
Über die Authentifizierungsschicht hinaus baut Fire Ant eine dauerhafte Zugriffsschicht in den Tunnel-verbundenen Linux-Managementhosts auf. Sygnia beschreibt dafür „BridgeAgent“, einen Linux-Backdoor, der als Zabbix-Monitoring-Agent tarnt. Die Persistenz läuft über eine systemd-Einheit „zabbix_agent.service“, die als root läuft, den Prozess im Betrieb als „/usr/bin/gnome-shell“ tarnt und Befehle über TLS auf Port 443 abfragt; damit wird die Kommandologik in eine scheinbar „normale“ Serviceumgebung eingewoben. Zusätzlich ist ein Punkt relevant, der in der Praxis oft unterschätzt wird: Mindestens ein Backdoor soll nach dem Löschen der Datei von Disk noch im Speicher weitergelaufen sein. Damit reichen klassische „Datei existiert nicht mehr“-Indikatoren allein nicht.
Auf den Managementhosts setzt Fire Ant zudem auf weitere Werkzeuge, darunter open-source Rootkits (Medusa und REPTILE), benutzerdefinierte SSH-Backdoors sowie Binärdateien, die umbenannt und mit Zeitstempeln versehen wurden, um als Endpoint-Sicherheitsagenten erkennbar zu wirken. Dabei nennt Sygnia auch, dass mehrere Komponenten bereits 2025 abgelegt und für Hands-on-Aktivitäten in 2026 erneut verwendet wurden. Neben der Sammlung arbeitet der Angreifer konsequent an der Gegenforensik: Router-Logs, SNMP-Traps und Authentifizierungsanfragen sollen unterdrückt worden sein, auf Linux-Hosts wird laut Analyse SELinux deaktiviert, Login-Historien werden umgeschrieben und Systemprotokolle so bereinigt, dass Einträge für privilegierte Kommandos fehlen. Für Verteidiger ergibt sich daraus ein klarer Handlungsimpuls: Die Router selbst, TACACS-Server, Hypervisoren und Jump Hosts sollten als „First-Class Forensic Assets“ behandelt werden.
Aus strategischer Sicht fügt sich das Bild in einen breiteren Trend ein, den die Untersuchung auch indirekt adressiert: Eine gemeinsame CISA-nahe Advisory-Logik, die im August 2025 auf eine Salt-Typhoon-nah attribuierte Router- und TACACS+-Datensammlung abstellte, folgt demselben Grundmuster—Transportdaten und Administratorkredenziale aus Netzwerkrandbereichen. Fire Ant geht dabei in Details weiter, indem es die Router-Logs per programmatischer Filterlogik gezielt beschnitten und die TACACS-Session-Handles für Credentials in den laufenden Authentifizierungsfluss integriert. Interessant ist außerdem die Abgrenzung: Mandiant hat erklärt, technisch keine Überlappung zwischen UNC3886 und separaten chinesischen Operationen zu sehen, die zuvor unter den Namen Salt Typhoon und Volt Typhoon geführt wurden. Für Unternehmen bedeutet das vor allem eins: Beim Incident Response gilt ein Multi-Evidenz-Ansatz. Sygnia empfiehlt, Logs gegen Speicher-, Disk-, Netzwerk-, Authentifizierungs- und Konfigurationsartefakte zu validieren, statt sich auf eine einzelne Telemetriequelle zu verlassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fire Ant kompromittiert Cisco IOS XR-Router: TACACS- und Log-Bypass" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fire Ant kompromittiert Cisco IOS XR-Router: TACACS- und Log-Bypass" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fire Ant kompromittiert Cisco IOS XR-Router: TACACS- und Log-Bypass« bei Google Deutschland suchen, bei Bing oder Google News!