Fire Ant migra de hipervisores VMware para roteadores Cisco IOS XR e transforma TACACS em coletor de credenciais
Sygnia detalhou em 30 de agosto como o cluster de espionagem chines Fire Ant, com forte sobreposição ao UNC3886, se moveu da camada de virtualização para roteadores Cisco IOS XR e servidores TACACS de clientes de alto valor.
A empresa de resposta a incidentes Sygnia divulgou em 30 de agosto uma investigação sobre atividade continuada do cluster de espionagem chines rastreado como Fire Ant, que agora se desloca das camadas de virtualização VMware, seu alvo tradicional, para roteadores Cisco IOS XR, servidores TACACS e hosts Linux de gerenciamento. A análise atribui alta sobreposição com o UNC3886, agrupamento documentado por Mandiant e Google Cloud com foco sustentado em plataformas de virtualização, dispositivos de borda e infraestrutura de rede.
O ponto de partida da investigação foi uma anomalia banal: um túnel Generic Routing Encapsulation ativo em um roteador Cisco IOS XR sem configuração em execução e sem histórico de commit que explicasse sua criação. A equipe da Sygnia rastreou a partir daí uma cadeia completa de persistência escondida em um serviço falso do sistema, que executa o implante apenas em horas alternadas para reduzir a superfície de detecção, e uma rotina de supressão seletiva de mensagens de syslog para esconder o tráfego de túnel dos administradores legítimos.
Duas ferramentas novas na cadeia
A investigação identificou dois artefatos inéditos. O BridgeAgent é um implante de tunelamento persistente que se mascara como zabbix_agent.service, unidade systemd familiar aos times de infraestrutura e que raramente entra no radar de EDR. O TacTap é um toolkit de coleta de credenciais focado em TACACS, com injeção de biblioteca e handoff de descritor de arquivo em socket Unix para capturar autenticações administrativas em trânsito. Combinados, permitem ao Fire Ant coletar credenciais privilegiadas, mover-se lateralmente entre segmentos e reduzir a confiança nos próprios logs de auditoria.
A escolha da camada de rede não é aleatória. Roteadores IOS XR e appliances TACACS raramente têm agentes de detecção, ficam fora do escopo de várias ferramentas SIEM e concentram o tráfego que o atacante quer inspecionar. A movimentação do Fire Ant para essa camada torna praticamente inúteis as políticas de detecção baseadas em endpoint corporativo padrão.
Onde o ataque se materializa fora da China
O alcance geográfico é o ponto que mais preocupa. Cisco IOS XR é usado como backbone por operadoras como NTT e KDDI no Japão, pela Deutsche Telekom na Alemanha, por vários provedores tier-1 nos EUA e por telecoms de mercados emergentes que servem de trânsito para tráfego regional. O Sygnia observou tentativas de conexão contra ambientes de infraestrutura crítica, sem confirmação de comprometimento efetivo nesses alvos, mas o padrão de reconhecimento é consistente com preparação de acesso persistente.
A leitura para o setor financeiro global é imediata. TACACS ainda é padrão em ambientes de conectividade entre data centers de grandes bancos, e a mesma técnica de tunelamento não configurado publicamente ajusta-se a ambientes de segmentação por MPLS típicos de bolsas e câmaras de compensação. Segundo a própria Sygnia, o adversário demonstra 'operational tradecraft' compatível com espionagem sustentada, não com movimentação oportunista, o que amplia o horizonte de dwell time potencial.
O que os times de rede precisam validar agora
A primeira validação prática é caçar interfaces de túnel GRE sem entrada em running-config e sem histórico de commit correspondente, seguindo os indicadores publicados pela Sygnia. A segunda é revisar a integridade dos hosts TACACS, com atenção a bibliotecas injetadas e sockets locais atípicos. A terceira, e menos confortável, é aceitar que qualquer credencial administrativa usada em roteadores comprometidos nos ultimos meses deve ser considerada exposta e rotacionada. O Fire Ant deixou claro que, quando o log é apagado no próprio dispositivo que gera o log, a única defesa restante é telemetria out-of-band, algo que a maioria dos ambientes ainda não tem.
O episódio muda ainda a discussão contratual com fornecedores de telecom e de managed network. Perguntas como 'qual é sua política de coleta de logs out-of-band em IOS XR' e 'como você garante integridade do TACACS contra library injection' agora pesam mais em RFP do que a lista tradicional de compliance. A Sygnia não fez atribuição conclusiva, mas o padrão técnico converge com UNC3886, e isso basta para reordenar prioridades de defesa em qualquer operação globalmente distribuída.