Non è più il classico attacco APT che ruba credenziali e sparisce. Fire Ant, gruppo di cyberspionaggio legato alla Cina, ha trasformato router Cisco IOS XR, server di autenticazione TACACS e host Linux di management in una piattaforma di sorveglianza permanente, capace di intercettare traffico, credenziali e comandi amministrativi senza mai toccare i sistemi finali che interessano davvero. Una ricerca pubblicata da Sygnia il 27 agosto 2026 ricostruisce una campagna che ribalta la logica difensiva tradizionale: il vero bersaglio non è la macchina compromessa, ma tutto ciò a cui quella macchina può arrivare.
Da UNC3886 agli hypervisor, fino all’infrastruttura di rete
Fire Ant non è un nome nuovo. Nel luglio 2025 Sygnia aveva già documentato le sue intrusioni contro ambienti VMware ESXi e vCenter, con l’obiettivo di ottenere accesso persistente agli hypervisor per motivi di spionaggio. I ricercatori segnalano oggi una “forte sovrapposizione” tra Fire Ant e UNC3886, il cluster China-nexus tracciato pubblicamente da Google Mandiant e già associato a intrusioni negli hypervisor di infrastrutture critiche occidentali. Nel 2026 l’attore ha ampliato il proprio raggio d’azione, spostandosi dai singoli sistemi virtualizzati verso gli strati di infrastruttura che ne controllano la connettività: router di frontiera, server di autenticazione e host Linux di gestione. Una strategia che gli analisti definiscono “target behind the target”: compromettere il nodo che decide chi può raggiungere cosa, per poi usarlo come ponte verso reti connesse di maggior valore, incluse infrastrutture critiche raggiungibili tramite relazioni di fiducia tra sistemi.
Router Cisco IOS XR trasformati in nodi di raccolta
Sui router Cisco IOS XR, Fire Ant non ha usato tool generici da sistema Linux, ma malware costruito appositamente per il control plane del dispositivo. Un finto script di servizio in /etc/rc.d/init.d/grub-rommon garantiva la persistenza, mentre l’impianto principale /usr/bin/acpid veniva eseguito solo nelle ore dispari, per ridurre la probabilità di essere notato durante controlli di routine. Una libreria syslog modificata filtrava selettivamente i messaggi: solo quelli contenenti la stringa “Health” venivano inoltrati, tutti gli altri scartati silenziosamente. Un componente separato, /pkg/bin/hd, intercettava i comandi CLI degli amministratori e aggiungeva filtri | exclude prima ancora della loro esecuzione, nascondendo così la configurazione del tunnel agli occhi di chi indagava. La comunicazione con l’esterno passava per /pkg/bin/dhcpd_show_issu_status, che sfruttava le librerie di routing native di IOS XR (VRF, RIB, funzioni Telnet-management) verso un indirizzo C2 hardcoded. Gli investigatori hanno inoltre scoperto un’interfaccia tunnel GRE priva di qualunque documentazione di configurazione, collegata a un vecchio sistema Linux che eseguiva BridgeAgent, un impianto travestito da agente Zabbix (zabbix_agent invece del legittimo zabbix_agentd), persistente via systemd e con configurazione cifrata in AES salvata in /opt/.ICEauthority. Da più router compromessi, Fire Ant ha inoltre estratto file PCAP del traffico di rete, caricandoli su server FTP esterni preparati lo stesso giorno dell’attività di upload — segno di una pianificazione operativa non improvvisata.
TacTap: la prima intercettazione pubblicamente documentata su TACACS
Il colpo più significativo, secondo Sygnia, riguarda i server TACACS, il collo di bottiglia amministrativo che autentica gli utenti, autorizza i comandi e registra le attività su tutti i dispositivi di rete. Il toolset TacTap funziona in tre fasi: l’iniettore /usr/sbin/acppid localizza il processo tac_plus, scrive una libreria condivisa malevola in /lib/libseconfd.so e ne avvia l’iniezione, cancellando poi la libreria dal disco. Questa libreria aggancia le funzioni accept e accept4 del servizio TACACS, intercetta le nuove connessioni client in arrivo e ne inoltra i file descriptor ad acppid tramite un socket Unix (/var/run/acpid.lock), usando la tecnica del file-descriptor passing. Le credenziali intercettate finiscono in /var/log/.tacplus.acct, offuscate con un semplice XOR a byte singolo (chiave 0xEF). Sygnia sottolinea che questa specifica tecnica di iniezione su tac_plus non era mai stata documentata pubblicamente prima d’ora: compromettere l’infrastruttura di autenticazione permette di raccogliere credenziali durante l’uso legittimo, osservare l’attività amministrativa e rendere quasi impossibile distinguere un accesso genuino da uno malevolo.
Host Linux come nodi di tunneling e manipolazione dei log
Sugli host Linux di management, Fire Ant ha riutilizzato nel 2026 un’infrastruttura di accesso costruita già nel 2025: componenti rootkit in stile Medusa nascosti in /usr/lib/locate, backdoor SSH personalizzate travestite da demoni legittimi (/usr/sbin/cupsdd per CUPS, /usr/sbin/smartdd per smartmontools) e raccolta di credenziali SSH in /var/log/remote.txt. Un binario inizialmente collocato come /var/tmp/ping, poi rinominato per impersonare agenti di sicurezza come SentinelOne e Cybereason, fungeva da backdoor attivabile con pacchetti appositi su porte TCP 443, 541, 8443, 10443 e UDP 500, con marcatori di avvio e chiusura ripresi dal rootkit REPTILE già noto pubblicamente. Per coprire le tracce, gli attaccanti hanno indebolito o disabilitato SELinux, modificato le regole iptables per reindirizzare il traffico dalla porta 22 alla 443, riscritto gli IP negli utmp/wtmp/btmp e rimosso le voci relative a comandi sudo da /var/log/messages e /var/log/secure. Il risultato, scrivono i ricercatori, è che nessuna singola fonte di log può più essere considerata affidabile: la validazione ha richiesto il confronto incrociato tra memoria, disco, telemetria di rete, log di autenticazione e stato delle configurazioni.
Cosa devono fare i difensori
- Trattare router, hypervisor, server TACACS e jump host come asset di sicurezza di prima classe, con lo stesso livello di monitoraggio riservato a endpoint e server applicativi
- Validare tunnel GRE, flussi di autenticazione e modifiche di routing contro fonti di evidenza indipendenti, non contro i soli log di sistema
- Prevedere metodi di autenticazione alternativi, non dipendenti da un’infrastruttura TACACS potenzialmente compromessa
- Dare priorità alla caccia comportamentale (pattern di abuso dell’infrastruttura, raccolta anomala di credenziali) rispetto ai soli indicatori atomici, facilmente sostituibili dall’attaccante
- Monitorare connessioni infrastruttura-infrastruttura inattese, in particolare tentativi di tunneling verso reti esterne connesse
La lezione più ampia di Fire Ant riguarda il perimetro stesso della difesa: non basta proteggere i carichi di lavoro aziendali se i router, i server di autenticazione e gli host di gestione che ne decidono la raggiungibilità restano trattati come infrastruttura invisibile. È esattamente lì che un attore state-sponsored con obiettivi di lungo periodo sceglie di annidarsi.
Indicatori di compromissione
File / persistenza:
/etc/rc.d/init.d/grub-rommon
/usr/bin/acpid (IOS XR) - SHA1: be6b27f429324a4af05a310d8ec9635e37c68a94
/pkg/bin/dhcpd_show_issu_status - SHA1: 1682b652a15bde732489f22809b0b7594c228fd3
/pkg/bin/hd - SHA1: b149fa3a34bd585e7a674a4fd9538437bd06f514
/usr/sbin/acppid (TacTap injector) - SHA1: 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00
/lib/libseconfd.so (TacTap library) - SHA1: 955cd45a2f6f226a2fdf44b329af1c8dde90cb38
/var/log/.tacplus.acct (credenziali XOR 0xEF)
/var/run/acpid.lock (socket Unix per FD passing)
/usr/sbin/cupsdd - SHA1: 1aa6ab2006b5d9199aa87bb0bbd995aec698ac4f
/usr/sbin/smartdd - SHA1: c164bfc953c66e58b11fc280e69fd43b8f255839
/bin/atd - SHA1: c164bfc953c66e58b11fc280e69fd43b8f255839
/var/tmp/ping (REPTILE-like) - SHA1: 5ba1242050b5b447052b210788a5a25593d6987d
/var/tmp/audit (backdoor VMCI/VSOCK) - SHA1: 13f0c2a598e3aa63856c032a96b110aed963f0e8
/opt/.ICEauthority (config cifrata BridgeAgent)
/var/log/remote.txt (credenziali SSH raccolte)
Servizio systemd fake: zabbix_agent.service (legittimo: zabbix_agentd)
Marker REPTILE-like: start "sxcdewqaz!@#" / kill "hpaVAj2FJ"
Porte trigger backdoor: TCP 443, 541, 8443, 10443 - UDP src 40443 verso dst 500Fonte principale: Sygnia, “Fire Ant Evolves: From Hypervisors to Trusted Infrastructure”, 27 agosto 2026.