Ausgangspunkt der Untersuchung war eine Auffälligkeit auf einem Cisco-IOS-XR-Router: Eine GRE-Tunnel-Schnittstelle (Generic Routing Encapsulation) war aktiv, obwohl weder eine laufende Konfiguration noch eine Commit-Historie erklärte, wie sie entstanden war. Wie sich der Akteur den Erstzugang zum Router verschaffte, konnte Sygnia nicht klären. Die Spur des Tunnels führte zu einem veralteten Linux-System, von dem aus Fire Ant wiederholt Verbindungsversuche und Portsondierungen gegen Administrations- und Dienstports in angebundenen Netzen ausführte, darunter SSH, HTTP, SMB und RDP.
Die eingesetzte Router-Schadsoftware war nicht generisch, sondern für die Control Plane von IOS XR gebaut. Eine Komponente brachte eine veränderte Systembibliothek ein, die jede ausgehende Protokollmeldung auf die Zeichenfolge „Health" prüfte und sie nur bei einem Treffer weiterleitete. Eine zweite Komponente griff in den Pfad der Befehlsausführung ein und hängte an show-Befehle einen Filter „| exclude" an, sodass die Tunnelkonfiguration des Angreifers vor prüfenden Administratoren verborgen blieb. Anschließend nutzte Fire Ant die Router, um Mitschnitte des Netzwerkverkehrs (PCAPs) von mehreren Cisco-Geräten zu erstellen und auf externe FTP-Server zu laden – einer davon war offenbar am selben Tag eingerichtet worden, an dem die Uploads erfolgten.
Auf dem TACACS-Server fand Sygnia ein Werkzeugset zum Abgreifen von Zugangsdaten, das die Firma als TacTap führt. Ein Injektor namens acppid lud eine bösartige Bibliothek in den laufenden Authentifizierungsprozess tac_plus, hängte sich in die Funktionen zur Annahme neuer Verbindungen und übergab die aktiven Sitzungs-Handles über einen lokalen Unix-Socket an einen zweiten Prozess. Die erbeuteten Anmeldedaten landeten in /var/log/.tacplus.acct, leicht verschleiert mit einem Ein-Byte-XOR-Schlüssel 0xEF. „Nach unserem Wissen wurde diese spezielle Technik der Bibliotheksinjektion in tac_plus bisher nicht öffentlich beschrieben, was sie zu einer bemerkenswerten Weiterentwicklung im Handwerkszeug von Fire Ant beim Abgreifen von TACACS-Zugangsdaten macht", so Sygnia. Der Diebstahl von Zugangsdaten aus TACACS-Servern ist für das Cluster etabliert: Mandiant hatte für UNC3886 bereits einen TACACS+-Sniffer namens LOOKOVER sowie den Austausch des tac_plus-Daemons gegen eine backdoored Variante dokumentiert.
Als zweites neues Werkzeug beschreibt Sygnia die Linux-Backdoor BridgeAgent, die auf dem über den Tunnel erreichbaren Host lief und sich als Zabbix-Monitoring-Agent ausgab. Sie hielt sich über eine systemd-Unit zabbix_agent.service mit Root-Rechten, tarnte ihren Prozess als /usr/bin/gnome-shell und fragte die Angreiferinfrastruktur per TLS über Port 443 nach Befehlen und Reverse-Shell-Anweisungen ab.
Auf den Linux-Managementhosts baute Fire Ant eine dauerhafte Zugangsschicht aus den Open-Source-Rootkits Medusa und REPTILE, eigenen SSH-Backdoors sowie umbenannten und mit falschen Zeitstempeln versehenen Binärdateien, die die Endpunkt-Agenten von SentinelOne und Cybereason imitierten. Mehrere dieser Komponenten wurden 2025 platziert und 2026 für manuelle Aktivitäten wiederverwendet; mindestens eine Backdoor lief laut Sygnia im Speicher weiter, nachdem ihre Datei von der Festplatte gelöscht worden war.
Parallel arbeitete der Akteur an der Vernichtung von Beweisen: Router-Logs, SNMP-Traps und Authentifizierungsanfragen wurden unterdrückt, SELinux auf den Linux-Hosts deaktiviert, Login-Historien umgeschrieben und Einträge zu privilegierten Befehlen aus Systemprotokollen entfernt. Sygnia empfiehlt, Router, TACACS-Server, Hypervisoren und Jump-Hosts als forensische Objekte erster Klasse zu behandeln und Protokolle gegen Speicher-, Datenträger-, Netzwerk-, Authentifizierungs- und Konfigurationsbelege abzugleichen statt gegen eine einzige Telemetriequelle. Indikatoren und YARA-Regeln hat die Firma in ihrem Bericht veröffentlicht.
Die beschriebene Sammlung von Router- und TACACS+-Verkehr entspricht dem Vorgehen, das eine von der CISA geführte gemeinsame Warnung im August 2025 Salt Typhoon zuschrieb – einem separaten chinesischen Spionagecluster, das Paketdaten von kompromittierten Routern abzog, um Administratorzugänge in Telekommunikationsnetzen zu erbeuten.