Un grupo de espionaje vinculado a China, conocido como Fire Ant, ha empezado a atacar routers Cisco en lugar de los hipervisores VMware que solía comprometer. Así lo detalla, según recoge Bleeping Computer, la compañía de respuesta a incidentes Sygnia, que descubrió el nuevo comportamiento del grupo tras encontrar algo que no cuadraba en un router Cisco IOS XR. El cambio de objetivo es relevante porque, junto a los routers, Sygnia identificó también servidores de autenticación TACACS y hosts Linux de gestión entre los sistemas comprometidos, es decir, tres piezas que suelen sostener el control administrativo de una red corporativa.
Los investigadores hallaron una interfaz de túnel GRE (Generic Routing Encapsulation) activa que no aparecía en ninguna configuración en ejecución ni en el historial de cambios del dispositivo. A partir de ahí tiraron del hilo y encontraron que Fire Ant había desplegado malware propio en los equipos, con persistencia mediante un servicio del sistema falso que solo ejecutaba el implante en horas alternas para pasar más desapercibido ante los administradores que revisan procesos en ejecución.
El router deja de enrutar y pasa a espiar
El malware de Fire Ant suprimía de forma selectiva los mensajes de syslog para ocultar a los administradores legítimos cualquier rastro relacionado con el túnel, establecía conexiones Telnet salientes hacia la infraestructura de los atacantes y permitía acceso a una shell interactiva sin dejar ningún registro. Con ese acceso administrativo, el grupo capturaba tráfico de varios routers y subía los ficheros PCAP resultantes a servidores FTP externos.
Esas capturas podían exponer la topología interna de la red, las conexiones administrativas, los flujos de autenticación, las relaciones de enrutamiento y el tráfico intercambiado con las redes conectadas. «This behavior shifts the router’s role from a transit device to a collection platform», explica Sygnia. «Once the actor controlled the router, the device became a vantage point for observing traffic moving through trusted network paths», añade la firma.
El túnel oculto conectaba con un servidor Linux usado como trampolín
El túnel GRE camuflado enlazaba uno de los routers comprometidos con un servidor Linux antiguo, que Fire Ant utilizaba como sistema de reconocimiento y punto de apoyo. Desde ahí, los atacantes sondeaban sistemas de entornos de alto valor conectados a esa red, incluidos sistemas asociados a infraestructuras críticas, a través de puertos habituales de SSH, servicios web, SMB/RPC y RDP.
Sygnia cree que el objetivo de la operación era comprometer infraestructura de confianza en una víctima inicial y usarla como puente encubierto para explorar rutas de acceso hacia redes de mayor valor conectadas a ella, una táctica que la propia firma denomina «target behind the target». Esta lógica explica por qué el grupo invierte esfuerzo en pasar desapercibido en un dispositivo intermedio, como un router: no es el destino final, sino el punto de observación desde el que planificar el siguiente salto.
Un backdoor disfrazado de agente de monitorización Zabbix
Los investigadores también identificaron una puerta trasera hasta ahora no documentada, llamada BridgeAgent, que Fire Ant disfrazaba como un agente legítimo de monitorización Zabbix. El backdoor persiste como un servicio systemd con privilegios de root y admite shells inversas TLS y la ejecución de cargas adicionales en el equipo comprometido.
Sygnia señala que la actividad de Fire Ant se superpone en buena medida con la de UNC3886, un grupo de espionaje chino documentado previamente por Google, aunque los investigadores encuentran diferencias en nombres de archivo, rutas y detalles de implementación que impiden dar por hecho que sean el mismo actor.
Qué pueden hacer los administradores con equipos Cisco expuestos
La firma advierte de que Fire Ant manipula de forma sistemática los registros del sistema, incluidos los sellos de tiempo de los ficheros, para dificultar la investigación posterior, así que recomienda validar los logs recuperados de infraestructura comprometida contra otras fuentes de datos antes de confiar en ellos. Para quien administra routers Cisco IOS XR, servidores TACACS o hosts Linux de gestión de red, el aviso es directo: conviene revisar si existen interfaces de túnel GRE que no figuren en la configuración activa ni en el historial de cambios, exactamente el rastro que llevó a Sygnia a descubrir el ataque.
El informe de Sygnia incluye además una lista extensa de indicadores de compromiso (IoC), junto con reglas de caza y reglas YARA pensadas para detectar la actividad de Fire Ant en redes que puedan estar afectadas. No es una vulnerabilidad que se parchee con una actualización puntual, sino un patrón de comportamiento que hay que buscar activamente en la configuración y los registros de cada dispositivo, comprobando también los servidores de autenticación y los hosts de gestión que rodean a los routers, no solo estos últimos.
Escrito por Eloy Andrade
