Chinese Fire Ant hackers turn Cisco routers into spying platforms

Cyber-espionnage : Le groupe Fire Ant détourne les routeurs Cisco

Le groupe de hackers chinois « Fire Ant » a fait évoluer ses tactiques d’espionnage, passant du ciblage des hyperviseurs VMware à la compromission d’infrastructures réseau critiques, notamment des routeurs Cisco IOS XR, des serveurs d’authentification TACACS et des systèmes Linux.

Points clés :

• Transformation des routeurs : Les attaquants transforment les routeurs en plates-formes de collecte de données en capturant le trafic réseau et en exfiltrant des fichiers PCAP via FTP.
• Stratégie « Cible derrière la cible » : Le routeur compromis sert de pont secret vers des réseaux internes de haute valeur, permettant d’explorer des systèmes critiques (SSH, SMB/RPC, RDP).
• Techniques d’évasion sophistiquées : Utilisation de tunnels GRE invisibles dans la configuration, suppression sélective des logs syslog, modification des horodatages de fichiers et exécution de malware uniquement par intervalles.
• Backdoor « BridgeAgent » : Un malware persistant déguisé en agent de monitoring Zabbix, opérant au niveau root et capable d’établir des reverse shells TLS.

Vulnérabilités :

• Aucune CVE spécifique n’est mentionnée, car l’attaque repose sur l’exploitation d’accès administratifs (identifiants valides) plutôt que sur une faille logicielle unique, permettant une persistance invisible au niveau du système d’exploitation.

Recommandations :

• Validation des logs : Ne jamais se fier uniquement aux logs internes du système compromis ; croiser systématiquement les données avec des sources externes pour détecter les manipulations (ex: logs manquants ou incohérents).
• Détection proactive : Rechercher des interfaces tunnels GRE non documentées et auditer les processus s’exécutant sur des intervalles atypiques.
• Surveillance des agents : Vérifier l’intégrité et l’origine des outils de monitoring (comme Zabbix) pour détecter le backdoor « BridgeAgent ».
• Utilisation des IoCs : Appliquer les règles YARA et les indicateurs de compromission fournis par Sygnia pour scanner les infrastructures potentiellement touchées.

Source