Ameaça Fire Ant Evolui e Mira Infraestrutura Crítica com Implantes IOS XR

O grupo Fire Ant, que inicialmente focava no comprometimento de hypervisores para ganhar acesso privilegiado, elevou seu nível de atuação. A ameaça agora mira diretamente a infraestrutura crítica de rede, atacando planos de controle de roteadores e sistemas de autenticação. Essa mudança de foco indica uma sofisticação na estratégia do ator, buscando pontos de controle mais estratégicos para acesso e persistência. Pesquisadores da Sygnia identificaram ferramentas personalizadas, como implantes IOS XR para roteadores Cisco e a ferramenta TacTap, capaz de injetar bibliotecas maliciosas em processos TACACS+ para roubo de credenciais via chave XOR. Essa postura permite ao Fire Ant criar túneis GRE não autorizados para sistemas Linux e suprimir alertas de syslog, dificultando a detecção.

A atribuição do Fire Ant ao cluster UNC3886, associado à China, alinha-se a um padrão de grupos APT chineses que visam infraestruturas críticas. A capacidade de manipular a telemetria da rede, suprimindo logs e alterando a saída de comandos CLI, mostra um nível avançado de operação para permanecer oculto. Os implantes como o 'BridgeAgent' (um backdoor que se disfarça de zabbix_agent) nos hosts Linux conectados aos túneis GRE funcionam como pontos de apoio adicionais para reconhecimento e movimentação lateral, permitindo que o atacante se aproxime de ambientes de alto valor.

A principal evolução do Fire Ant é a transição de um foco em hypervisores para o ataque direto a componentes essenciais da infraestrutura de rede, como roteadores IOS XR e sistemas de autenticação TACACS+. O grupo, antes, usava hypervisores como ponto de entrada; agora, busca comprometer a camada que controla o tráfego e o acesso, tornando-se mais estratégico. Essa mudança tática é evidenciada pelo desenvolvimento de implantes específicos para IOS XR, algo bem diferente de malware genérico.

Também há um forte indício de continuidade ou ligação com a cobertura anterior do CEVIU News sobre o grupo Velvet Ant, em 16 de junho de 2026. Ambos são grupos APT chineses, com nomes semelhantes, e compartilham táticas como o comprometimento de autenticação e a criação de túneis em infraestruturas críticas. Isso sugere que o Fire Ant pode ser uma evolução ou uma manifestação específica de um ator de ameaças chinês mais amplo, que a Sygnia agora vincula ao cluster UNC3886.

Comprometer a infraestrutura de rede e os sistemas de autenticação representa um risco de segurança crítico, pois permite que atacantes controlem o fluxo de dados, interceptem credenciais e suprimam evidências de suas ações. Para empresas, especialmente aquelas com infraestrutura crítica, isso significa que a segurança de ativos tradicionalmente considerados robustos (como roteadores) deve ser reavaliada. Um ataque como o do Fire Ant pode resultar em acesso persistente e indetectável, com potencial para interrupções operacionais e roubo massivo de informações confidenciais.

A manipulação de logs e comandos inviabiliza a confiança em fontes de telemetria padrão, exigindo uma abordagem de defesa mais profunda e multi-camada. É essencial que as organizações tratem roteadores, servidores de autenticação e hosts de gerenciamento como ativos de primeira classe em sua estratégia de segurança, com monitoramento, endurecimento e prontidão para resposta a incidentes equivalentes aos de endpoints e servidores mais comuns.