Der Ausgangspunkt der Untersuchung war unauffällig: ein aktives GRE-Tunnel-Interface (Generic Routing Encapsulation) auf einem Cisco-IOS-XR-Router, für das es in der laufenden Konfiguration und in der Commit-Historie keine Entsprechung gab. Dahinter steckte laut Sygnia eine eigens entwickelte Schadsoftware, die sich über einen vorgetäuschten Systemdienst dauerhaft einnistete und das Implantat jeweils nur in abwechselnden Stunden startete.
Die Tarnung reichte bis in die Protokollierung hinein. Die Malware unterdrückte selektiv jene Syslog-Meldungen, die legitimen Administratoren Hinweise auf den Tunnel gegeben hätten. Nach außen baute sie Telnet-Verbindungen zur Infrastruktur der Gruppe auf und bot interaktiven Shell-Zugriff, der nicht protokolliert wurde.
Parallel nutzten die Angreifer ihre administrativen Rechte, um den Verkehr mehrerer Router mitzuschneiden und die entstandenen PCAP-Dateien auf externe FTP-Server zu übertragen. Aus solchen Aufzeichnungen lassen sich interne Netztopologien, administrative Verbindungen, Authentifizierungsabläufe, Routing-Beziehungen sowie der Datenaustausch mit angeschlossenen Netzen rekonstruieren. “Dieses Verhalten verändert die Rolle des Routers vom Transitgerät zur Sammelplattform”, schreibt Sygnia. “Sobald der Akteur den Router kontrollierte, wurde das Gerät zu einem Beobachtungsposten für den Verkehr über vertrauenswürdige Netzpfade.”
Der verborgene GRE-Tunnel verband einen der kompromittierten Router mit einem älteren Linux-Server, den Fire Ant als Staging- und Aufklärungssystem verwendete. Von dort aus tasteten die Angreifer Systeme in angebundenen, besonders schützenswerten Umgebungen ab, darunter Systeme mit Bezug zu kritischer Infrastruktur. Genutzt wurden dabei Ports, die typischerweise für SSH, Webdienste, SMB/RPC und RDP verwendet werden.
Sygnia geht davon aus, dass die Operation darauf zielte, vertrauenswürdige Infrastruktur bei einem ersten Opfer zu übernehmen und diese als verdeckte Brücke in angeschlossene, hochwertige Netze zu nutzen. Die Forscher bezeichnen dieses Muster als “Ziel hinter dem Ziel”.
Neu dokumentiert ist außerdem eine Backdoor namens BridgeAgent, die Fire Ant als legitimen Zabbix-Monitoring-Agenten tarnte. Sie verankert sich als systemd-Dienst mit Root-Rechten und unterstützt Reverse Shells über TLS sowie das Ausführen weiterer Schadmodule auf dem kompromittierten Host.
Die Aktivität überschneidet sich nach Einschätzung von Sygnia stark mit UNC3886, einer chinesischen Spionagegruppe, die zuvor von Google beschrieben wurde. Unterschiede sehen die Forscher jedoch bei Dateinamen, Pfaden und Details der Umsetzung.
Besonders hervor heben die Analysten die systematische Manipulation von Protokollen und Aufzeichnungen: Fire Ant verändere sogar Zeitstempel von Dateien, um Spuren zu verwischen, die Ermittlern nützen würden. Protokolle aus kompromittierter Infrastruktur sollten daher gegen andere Datenquellen abgeglichen werden. Der Bericht von Sygnia enthält eine umfangreiche Liste von Kompromittierungsindikatoren (IoCs) sowie Hunting- und YARA-Regeln zur Erkennung der Aktivität.