(https://i.imgur.com/tZDZrlD.png)
El grupo de ciberespionaje Fire Ant, vinculado a China y relacionado por investigadores con las operaciones atribuidas a UNC3886, ha ampliado significativamente sus técnicas de intrusión. El actor, que anteriormente había centrado parte de sus operaciones en entornos de virtualización VMware, ahora está atacando routers Cisco IOS XR, servidores TACACS y sistemas de gestión Linux, convirtiendo estos dispositivos en puntos estratégicos para recopilar información y mantener el acceso a redes de alto valor.
La investigación, realizada por la empresa de respuesta a incidentes Sygnia, revela una evolución importante en las capacidades del grupo. En lugar de limitarse a comprometer servidores convencionales, Fire Ant está buscando controlar componentes esenciales de la infraestructura de red, lo que le proporciona una posición privilegiada para observar el tráfico, capturar credenciales y dificultar las investigaciones posteriores.
Fire Ant convierte routers Cisco en plataformas de espionajeUno de los principales hallazgos de Sygnia fue la presencia de actividad maliciosa en un router Cisco IOS XR. La investigación comenzó después de detectar una interfaz de túnel GRE (Generic Routing Encapsulation) que no tenía ningún historial de configuración o commit que explicara su existencia.
Aunque los investigadores no pudieron determinar exactamente cómo Fire Ant obtuvo inicialmente acceso al router, el análisis del túnel permitió descubrir una infraestructura mucho más amplia.
Desde un sistema Linux heredado conectado mediante el túnel, el actor realizó múltiples intentos de conexión y escaneos de puertos contra diferentes redes y sistemas. Entre los servicios buscados se encontraban SSH, HTTP, SMB y RDP, lo que demuestra que el acceso al router no era un objetivo aislado, sino parte de una estrategia destinada a explorar otros activos conectados.
El control de un router ofrece una ventaja especialmente importante para un grupo de espionaje. Estos dispositivos gestionan grandes volúmenes de tráfico y se encuentran en posiciones privilegiadas dentro de las redes corporativas y de telecomunicaciones.
Según Sygnia, el acceso a los routers permitió a Fire Ant obtener una perspectiva privilegiada sobre las comunicaciones que circulaban por rutas consideradas confiables.
La diferencia es fundamental: comprometer un servidor permite acceder a determinados datos, mientras que comprometer un dispositivo de red puede proporcionar al atacante una visión mucho más amplia de cómo funciona el entorno.
Malware diseñado específicamente para Cisco IOS XROtro aspecto destacado de la campaña es que el malware encontrado en los routers no se trataba simplemente de una herramienta genérica para sistemas Linux. Los investigadores determinaron que algunos componentes habían sido desarrollados específicamente para interactuar con el plano de control de Cisco IOS XR.
Uno de los componentes modificaba una biblioteca del sistema encargada de procesar mensajes de registro. Su función consistía en inspeccionar los mensajes salientes y reenviarlos únicamente cuando se cumplían determinadas condiciones.
Esta técnica permitía a Fire Ant interferir con la generación o transmisión de información de registro, reduciendo la visibilidad del administrador sobre las actividades realizadas en el dispositivo.
Otro componente modificaba la ejecución de comandos del router para incorporar un filtro que ocultaba determinados elementos de la configuración. De esta forma, los administradores podían inspeccionar el dispositivo sin observar fácilmente el túnel utilizado por el atacante.
La combinación de persistencia, ocultación y manipulación de registros convierte este tipo de compromiso en un desafío especialmente complejo para los equipos de seguridad.
Captura de tráfico de red mediante PCAPUna vez obtenido el control de los routers, Fire Ant los utilizó para realizar capturas de paquetes de red (PCAP) procedentes de distintos dispositivos Cisco.
Las capturas recopiladas fueron posteriormente transferidas a servidores FTP externos. Sygnia observó que al menos uno de estos servidores parecía haber sido instalado el mismo día en que comenzaron las transferencias.
La captura de tráfico representa una capacidad extremadamente valiosa para un actor de ciberespionaje. Dependiendo de la arquitectura de la red y del tráfico interceptado, los paquetes pueden contener información sobre conexiones, protocolos, dispositivos, servicios y potencialmente credenciales o datos sensibles.
Esta estrategia también puede ayudar al atacante a identificar nuevos objetivos dentro de una infraestructura sin necesidad de comprometer inmediatamente cada sistema.
Robo de credenciales en servidores TACACSFire Ant también amplió sus operaciones hacia servidores TACACS, utilizados para centralizar la autenticación y autorización de administradores de dispositivos de red.
Sygnia identificó un conjunto de herramientas denominado TacTap, diseñado para interceptar credenciales durante los procesos de autenticación.
Uno de sus componentes, denominado acppid, funcionaba como un inyector capaz de cargar una biblioteca maliciosa dentro del proceso tac_plus. Posteriormente, la biblioteca intervenía funciones relacionadas con la aceptación de nuevas conexiones y enviaba información de las sesiones activas hacia otro proceso mediante un socket Unix local.
Las credenciales capturadas se almacenaban en el archivo:
/var/log/.tacplus.acctEl contenido era posteriormente ofuscado utilizando una clave XOR de un solo byte, 0xEF.
Sygnia considera especialmente relevante esta técnica porque la inyección de una biblioteca directamente en el proceso tac_plus no había sido descrita públicamente anteriormente con este nivel de detalle.
El robo de credenciales TACACS, sin embargo, no es completamente nuevo dentro de las operaciones vinculadas a UNC3886. Investigaciones anteriores de Mandiant documentaron el uso de herramientas como LOOKOVER y versiones modificadas del daemon tac_plus para interceptar credenciales.
BridgeAgent: una puerta trasera Linux disfrazada de ZabbixLos investigadores también recuperaron una nueva puerta trasera para Linux denominada BridgeAgent.
El malware fue diseñado para aparentar ser un componente legítimo de monitorización Zabbix, una técnica de camuflaje destinada a evitar que los administradores detectaran su presencia durante las revisiones rutinarias.
BridgeAgent conseguía persistencia mediante una unidad de systemd llamada:
zabbix_agent.serviceEl servicio se ejecutaba con privilegios de root, mientras que el proceso malicioso utilizaba una apariencia asociada con /usr/bin/gnome-shell.
Para comunicarse con la infraestructura de mando y control, la puerta trasera utilizaba TLS sobre el puerto 443, lo que podía ayudar a que las comunicaciones se mezclaran con tráfico legítimo.
Entre sus capacidades se encontraba la recepción de instrucciones y la ejecución de conexiones de tipo reverse shell, proporcionando al atacante una vía de acceso remoto persistente.
Rootkits y puertas traseras en hosts LinuxLa campaña no se limitó a routers y servidores TACACS. Fire Ant también estableció mecanismos de acceso persistente en hosts de gestión Linux.
Sygnia identificó el uso de rootkits de código abierto como Medusa y REPTILE, además de puertas traseras SSH personalizadas.
Los atacantes también recurrieron a binarios renombrados y modificados para imitar componentes relacionados con soluciones de seguridad como SentinelOne y Cybereason.
Algunos de estos componentes habían sido desplegados durante 2025 y posteriormente reutilizados durante las operaciones observadas en 2026. En al menos un caso, una puerta trasera continuaba ejecutándose en memoria incluso después de que el archivo correspondiente hubiera sido eliminado del disco.
Este comportamiento demuestra por qué una investigación basada exclusivamente en el sistema de archivos puede resultar insuficiente frente a actores avanzados.
Fire Ant también intenta borrar sus huellasUna característica central de la campaña es el esfuerzo sistemático por destruir o alterar las evidencias que podrían permitir reconstruir el ataque.
Sygnia observó acciones destinadas a:
- Suprimir registros de routers.
- Eliminar o manipular trampas SNMP.
- Interferir con solicitudes de autenticación.
- Desactivar SELinux en sistemas Linux.
- Modificar historiales de acceso.
- Eliminar registros relacionados con comandos privilegiados.
- Ocultar configuraciones maliciosas en routers.
- Mantener determinadas puertas traseras únicamente en memoria.
Estas capacidades dificultan considerablemente el trabajo de los equipos de respuesta ante incidentes.
Por este motivo, Sygnia recomienda tratar routers, servidores TACACS, hipervisores y hosts de salto como activos forenses de primera clase. La reconstrucción de un ataque no debería depender de una única fuente de telemetría, sino combinar evidencias procedentes de memoria, disco, red, autenticación y configuración.
La posible relación con UNC3886Sygnia considera que la actividad observada presenta un fuerte solapamiento con información pública relacionada con UNC3886, un grupo de ciberespionaje con supuesto nexo chino conocido por atacar tecnologías de virtualización y dispositivos de infraestructura de red.
Sin embargo, la empresa ha evitado realizar una atribución definitiva.
El historial de UNC3886 resulta especialmente relevante porque el grupo ya había sido relacionado con ataques contra dispositivos de red y entornos de virtualización. Mandiant, que documentó inicialmente sus operaciones, también ha señalado anteriormente que no encontró solapamiento técnico entre UNC3886 y otros grupos chinos rastreados como Salt Typhoon y Volt Typhoon.
La actividad actual representa además una continuación de las operaciones de Fire Ant reveladas por Sygnia en 2025, cuando el grupo fue observado explotando entornos VMware ESXi y vCenter antes de avanzar hacia capas más críticas de las infraestructuras de red y gestión.
Riesgo para infraestructuras críticasUno de los aspectos más preocupantes de la campaña es la posibilidad de que el acceso a routers y sistemas de autenticación sirva como punto de partida para alcanzar redes de mayor valor.
Sygnia señaló que Fire Ant exploró rutas hacia entornos conectados considerados estratégicos, incluyendo potencialmente infraestructuras críticas. No obstante, la investigación no confirmó compromisos de estas redes: la actividad observada se limitó a escaneos e intentos de conexión.
La capacidad de controlar dispositivos que enrutan tráfico y administran accesos proporciona, aun así, una ventaja estratégica considerable.
Un atacante que consigue comprometer la infraestructura de confianza puede obtener información sobre qué sistemas se comunican entre sí, qué cuentas administrativas están activas y qué servicios están disponibles. Esa información puede utilizarse posteriormente para planificar nuevas intrusiones.
Indicadores de compromiso de Fire AntSygnia publicó indicadores de compromiso relacionados con varios componentes identificados durante la investigación, entre ellos TacTap, BridgeAgent, implantes para IOS XR, una puerta trasera VMCI y una puerta trasera activada mediante paquetes de red.
Entre los artefactos destacados aparecen:
- /usr/sbin/acppid
- /lib/libseconfd.so
- /var/log/.tacplus.acct
- zabbix_agent.service
- /opt/.ICEauthority
- /usr/bin/acpid
- /pkg/bin/dhcpd_show_issu_status
- /pkg/bin/hdb
- /etc/rc.d/init.d/grub-rommon
- /var/tmp/audit
- /var/tmp/ping
La empresa también proporcionó hashes, reglas YARA y otros indicadores destinados a facilitar la detección de estas herramientas.
Fire Ant demuestra el valor estratégico de la infraestructura de redLa evolución de Fire Ant pone de manifiesto un cambio importante en las operaciones modernas de ciberespionaje. Los atacantes ya no necesitan centrarse exclusivamente en estaciones de trabajo o servidores finales para obtener información valiosa.
Routers Cisco, servidores TACACS, hipervisores y hosts de administración pueden convertirse en objetivos prioritarios debido a la visibilidad y los privilegios que proporcionan dentro de una organización.
El caso también guarda similitudes con campañas atribuidas a Salt Typhoon, donde actores chinos fueron relacionados con la captura de tráfico procedente de routers comprometidos y el robo de credenciales administrativas en redes de telecomunicaciones.
La principal lección para las organizaciones es clara: proteger únicamente los endpoints ya no es suficiente. La seguridad debe abarcar también la infraestructura que permite autenticar usuarios, enrutar comunicaciones, administrar dispositivos y generar telemetría.
La combinación de monitorización de configuraciones, análisis de memoria, protección de sistemas Linux, supervisión de servidores TACACS, inspección de tráfico y conservación de registros fuera de los dispositivos comprometidos puede marcar la diferencia a la hora de detectar una intrusión avanzada.
El caso Fire Ant demuestra que tomar el control de un router no solo proporciona acceso a una red: proporciona visibilidad sobre ella. Y para un actor de ciberespionaje, esa perspectiva puede ser tan valiosa como el acceso directo a los sistemas que pretende atacar.
Fuente: https://thehackernews.com/