Fire Ant использовала маршрутизаторы Cisco для перехвата учётных данных и сокрытия следов
По данным Sygnia, группировка расширила кампанию с VMware на маршрутизаторы Cisco IOS XR, серверы TACACS и Linux-хосты управления. Исследователи видят сильное сходство с активностью китайской UNC3886, но не делают окончательной атрибуции.
Группировка Fire Ant скомпрометировала маршрутизаторы Cisco IOS XR и использовала их как точки наблюдения за трафиком: перехватывала сетевые данные, собирала учётные данные и скрывала журналы и телеметрию. Об этом сообщила компания Sygnia, расследовавшая инцидент.
Атакующие также получили доступ к серверам TACACS, отвечающим за централизованную аутентификацию, и Linux-хостам управления. По оценке Sygnia, они изучали пути к связанным высокоценных средам, включая объекты критической инфраструктуры. Однако в этих сетях расследователи зафиксировали лишь сканирование и попытки подключения, а не подтверждённую компрометацию.
Расследование началось с аномалии на маршрутизаторе Cisco IOS XR: на устройстве работал GRE-туннель, создания которого не объясняли ни активная конфигурация, ни история её применения. Sygnia не установила, каким способом злоумышленники первоначально проникли на маршрутизатор. Отслеживание туннеля привело к устаревшей Linux-системе, с которой велись попытки подключений и сканирование портов SSH, HTTP, SMB и RDP в связанных сетях.
Вредоносное ПО для маршрутизаторов было специально разработано для плоскости управления IOS XR. Один из компонентов подменял системную библиотеку и пропускал исходящие сообщения журнала только при наличии строки Health. Другой менял обработку команд: к командам show добавлялся фильтр, скрывавший конфигурацию туннеля от администраторов. С нескольких устройств Cisco также снимались дампы сетевого трафика, которые затем выгружались на внешние FTP-серверы.
На TACACS-сервере Sygnia обнаружила набор средств для сбора учётных данных, названный TacTap. Инжектор acppid загружал вредоносную библиотеку в процесс tac_plus, а перехваченные данные записывались в файл /var/log/.tacplus.acct с простой XOR-обфускацией. По словам Sygnia, описанный способ внедрения библиотеки в tac_plus ранее публично не раскрывался.
На Linux-хосте, связанном с туннелем, работал бэкдор BridgeAgent, маскировавшийся под агент мониторинга Zabbix. Он закреплялся через службу zabbix_agent.service с правами root, выдавал свой процесс за /usr/bin/gnome-shell и получал команды через TLS на порту 443. На других хостах исследователи нашли rootkit-инструменты Medusa и REPTILE, SSH-бэкдоры, а также файлы, замаскированные под компоненты SentinelOne и Cybereason.
Злоумышленники пытались затруднить расследование: подавляли журналы маршрутизаторов, SNMP-уведомления и запросы аутентификации, отключали SELinux, изменяли историю входов и удаляли из системных журналов записи о привилегированных командах. Sygnia рекомендует при расследованиях рассматривать маршрутизаторы, TACACS-серверы, гипервизоры и jump-хосты как полноценные источники криминалистических данных и сопоставлять журналы с данными из памяти, диска, сети, аутентификации и конфигураций.
Sygnia считает, что активность Fire Ant сильно пересекается с ранее описанной деятельностью UNC3886, которую связывают с Китаем, однако окончательную атрибуцию компания не делает. Ранее Fire Ant связывали прежде всего с атаками на среды VMware ESXi и vCenter.