LONDON (IT BOLTWISE) – Ein KI-gestütztes Sicherheitsmonitoring ersetzt keine Forensik: Der als Fire Ant verfolgte Angreifer nutzt kompromittierte Cisco-Edge-Geräte, um Verkehrs- und Credential-Daten abzugreifen. Laut Sygnia wird die Router-Logik in der IOS-XR-Control-Plane gezielt manipuliert, unter anderem durch selektives Unterdrücken von Health-bezogenen Logmeldungen. Auf dem TACACS-Server injiziert der Cluster eine modifizierte tac_plus-Bibliothek, schreibt Zugangsdaten nach /var/log/.tacplus.acct und verwischt sie mit einem XOR-Byte-Schlüssel 0xEF. Zusätzlich bleibt eine Linux-Backdoor als Zabbix-Agent tarnt und kommuniziert über TLS auf Port 443, wodurch Ermittler auf mehrere Beweisschichten setzen müssen.
Der Vorfall, den Sygnia beschreibt, wirkt auf den ersten Blick wie ein klassisches Muster aus Credential-Theft und Netzwerkspionage. Bei genauerer Betrachtung ist er aber vor allem ein Beispiel dafür, wie Angreifer Vertrauenszonen auf der „letzten Meile“ der Netzsteuerung missbrauchen: Fire Ant hat seine Kampagne von VMware-Umgebungen weiter in Richtung Router- und Management-Schicht erweitert. Konkret geht es um kompromittierte Cisco IOS XR Router, TACACS-Server (Terminal Access Controller Access-Control System) sowie Linux-Hosts, über die Router, Authentifizierung und Betrieb sensibler Netze verbunden und gesteuert werden. Der Kernnutzen liegt dabei weniger in „Reichweite“, sondern in der Perspektive auf Datenflüsse, weil kontrollierte Netzwerk-Knoten den Blick auf Verkehr geben, der vorher als vertrauenswürdig galt.
Der Einstieg in die Dynamik der IOS-XR-Seite lässt sich laut Bericht über ein auffälliges Artefakt rekonstruieren: Auf einem Cisco IOS XR Router lief eine Generic Routing Encapsulation (GRE)-Tunnel-Interface, ohne dass dafür eine laufende Konfiguration oder eine Commit-Historie existierte, die den Tunnel plausibel erklären würde. Sygnia fand dabei keine eindeutige Spur, wie der Angreifer den Router letztlich erstmals in Zugriff genommen hatte. Entscheidend ist jedoch, dass die Malware nicht als generisches Linux-Appliance-Projekt umgesetzt wurde, sondern auf die IOS-XR-Control-Plane zugeschnitten ist. Zwei Module werden dabei besonders hervorgehoben: Ein modifizierter System-Bibliotheksaufruf prüft ausgehende Logmeldungen und leitet sie nur dann weiter, wenn die Zeichenkette „Health“ enthalten ist. Ein weiteres Element verändert den Command-Execution-Pfad so, dass beim Anzeigen von Befehlen ein Exclude-Filter greift und die Tunnelkonfiguration aus der administrativen Sicht verschwindet.
Mit dieser Positionierung nutzt Fire Ant die Router anschließend als Sammlungspunkt. Der Bericht beschreibt Packet Captures (PCAPs) von mehreren Cisco-Geräten, die der Angreifer über externe FTP-Server hochlädt; eines der Ziele sei dabei auffällig „am selben Tag“ installiert bzw. aktiv geworden, als die Uploads erfolgten. Für die TACACS-Seite identifizierte Sygnia ein Credential-Collection-Tool namens TacTap. Im Mittelpunkt steht dabei eine Injector-Komponente („acppid“), die eine bösartige Bibliothek in den laufenden tac_plus-Prozess einschleust. Die Injektion klinkt sich in Funktionen ein, die neue Verbindungen annehmen, übergibt Live-Session-Handles an einen zweiten Prozess über einen lokalen Unix-Socket und schreibt die erfassten Credentials anschließend in die Datei /var/log/.tacplus.acct. Die gespeicherten Inhalte seien zudem leicht mit einem einzelnen XOR-Byte-Schlüssel von 0xEF obfuskiert worden.
Für Ermittler ist dabei weniger die Obfuskation interessant als das Zusammenspiel aus Router- und Authentifizierungsebene. TACACS+-Credential-Theft gilt innerhalb des Cluster-Umfelds als etablierte Technik: Sygnia stellt den Bezug zu einem bereits bekannten Vorgehen her, bei dem TACACS+ als Sensor missbraucht wird und der tac_plus-Dienst durch eine manipulierte Variante ersetzt wird, um Anmeldeinformationen mitzuschneiden. Neu wirkt laut Sygnia vor allem die konkrete Injektionslogik in die tac_plus-Laufzeit, denn diese spezifische Library-Injection-Technik sei öffentlich in der beschriebenen Form zuvor nicht dokumentiert gewesen. Ergänzend taucht eine zweite Komponente auf, die Sygnia BridgeAgent nennt: Sie wird auf dem tunnel-verbundenen Linux-Host eingesetzt und tarnt sich als Zabbix-Monitoring-Agent. Die Persistenz entsteht über eine zabbix_agent.service-systemd-Einheit, die als Root läuft. Zusätzlich sei die Prozessdarstellung verschleiert worden (u. a. über eine Umbenennung in Richtung /usr/bin/gnome-shell) und die Infrastruktur steuere die Implantate über TLS auf Port 443 mit Kommandos sowie Reverse-Shell-Anweisungen.
Abseits dieser beiden Pfade baut Fire Ant auf den Linux-Management-Hosts eine dauerhafte Zugriffsschicht aus. Sygnia ordnet das Vorgehen mehreren Werkzeugfamilien zu: Medusa und REPTILE Rootkits (open source) ergänzen sich mit eigenen SSH-Backdoors sowie Binärdateien, die so umbenannt und per Zeitstempel manipuliert werden, dass sie wie bekannte Endpoint-Security-Agenten wirken. Besonders für die Untersuchung ist der Hinweis „Reuse“: Mehrere Komponenten seien bereits 2025 abgelegt worden und dann für Hands-on-Aktivitäten 2026 wiederverwendet worden. Der Bericht beschreibt außerdem, dass mindestens ein Backdoor-Element weiter im Speicher lief, selbst nachdem die zugehörige Datei von der Festplatte entfernt worden war. Das erklärt, warum einzelne Indikatoren wie „Datei existiert nicht“ in der Praxis zu kurz greifen.
Um die Beweissicherung zusätzlich zu erschweren, setzt der Angreifer laut Sygnia auf gezielte Evidenzunterdrückung. Auf der Router-Seite betrifft das das Unterdrücken von Logs, SNMP-Traps und Authentifizierungsanfragen. Auf den Linux-Hosts werden Sicherheitsmechanismen wie SELinux abgeschaltet; gleichzeitig werden Login-History-Aufzeichnungen umgeschrieben und Einträge privilegierter Kommandos aus Systemlogs entfernt. Sygnia betont deshalb, dass Router, TACACS-Server, Hypervisoren und Jump Hosts als gleichwertige First-Class-Forensik-Assets zu behandeln sind. Anstatt sich nur auf „eine“ Telemetriequelle zu verlassen, sollen Ermittler Logs gegen Gedächtnisinhalte, Disk-Artefakte, Netzwerkspuren, Authentifizierungsnachweise und Konfigurationsstände gegeneinander verifizieren.
Für die Einordnung in den Branchenkontext nennt Sygnia eine starke Überschneidung mit öffentlich beschriebenen Aktivitäten um UNC3886, einem China-nexus Spionage-Cluster, das unter anderem Virtualisierungsplattformen und Netzwerk-Edge-Geräte adressiert. Sygnia liefert jedoch keine abschließende Attribution, was auch deshalb wichtig bleibt, weil Mandiant in der Vergangenheit keinen technischen Überlappungsbeleg zwischen UNC3886 und anderen getrennten chinesisch verfolgten Operationen (u. a. unter den Namen Salt Typhoon und Volt Typhoon) gefunden haben soll. Zeitlich setzt der Bericht auf eine Kontinuität: Die 2026 beschriebenen Schritte folgen auf Sygnia’s Juli-2025-Enthüllung zu Fire Ant, bei der zuerst VMware ESXi und vCenter als Ausgangspunkt beschrieben wurden, bevor dann Netzwerk- und Management-Schichten adressiert wurden. Praktisch heißt das für Teams mit Cisco- und TACACS-Fokus: Der Schutzplan muss nicht nur Firmware- und Credential-Hygiene abdecken, sondern auch die forensische „Kette“ zwischen Router-Transportschicht, Authentifizierungsdiensten und Linux-Management – inklusive der Frage, ob PCAPs, Log-Streams und systemnahe Speicherzustände konsistent sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fire Ant kapert Cisco-Router und klaut TACACS-Zugangsdaten per Tunnel" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fire Ant kapert Cisco-Router und klaut TACACS-Zugangsdaten per Tunnel" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fire Ant kapert Cisco-Router und klaut TACACS-Zugangsdaten per Tunnel« bei Google Deutschland suchen, bei Bing oder Google News!