Sygnia beschreibt ein wiederkehrendes Vorgehen: Die Angreifer übernehmen Infrastruktur, sammeln darüber Informationen und Zugangsdaten, richten sich dauerhaften Zugriff ein und verwischen anschließend ihre Spuren. Dazu gehörten das Verstecken von Protokolldaten, das Löschen von Dateien und Eingriffe in Firewall-Regeln.
“Fire Ant hat nicht nur Systeme kompromittiert, sondern die Vertrauensschicht, auf die diese Systeme angewiesen sind”, sagte Asaf Perlman, Leiter der Incident Response bei Sygnia. Router, Authentifizierungsserver und Management-Infrastruktur, die viele Organisationen als Altlast behandelten, seien für den Angreifer zum Beobachtungsposten für Reichweite, Sichtbarkeit und Kontrolle geworden. Die Bedeutung reiche über die zunächst kompromittierte Umgebung hinaus, weil die betroffene Infrastruktur einen Weg zu weiteren angebundenen, hochwertigen Umgebungen eröffnen könne.
Die in der Kampagne entdeckte Schadsoftware war eigens dafür gebaut, Router zu steuern und so zu verändern, dass sie sich besser an die Bedürfnisse der Angreifer anpassen ließen. Fire Ant zeichnete Datenverkehr mehrerer Cisco-Router auf und lud die Daten auf externe Infrastruktur hoch. Mit einem einzigen Zugangspunkt gaben sich die Akteure nicht zufrieden – sie verschafften sich Beobachtungspositionen “aus der gesamten Umgebung” heraus und damit einen Überblick darüber, wie Systeme, Administratoren und angebundene Netzwerke miteinander interagierten.
“Wenn ein Angreifer Router kontrolliert, gewinnt er nicht nur Reichweite, sondern Perspektive”, schreiben die Forscher. Fire Ant habe die Netzwerkinfrastruktur genutzt, um die Umgebung von innen zu beobachten und Informationen zu sammeln, die laterale Bewegung, gezielte Angriffe auf Zugangsdaten und die Planung netzübergreifender Zugriffe unterstützen konnten.
Besonders effektiv wurde die Gruppe beim Kompromittieren von TACACS-Servern, die als faktische administrative Kontrollpunkte fungieren: Sie authentifizieren Nutzer, autorisieren Befehle und protokollieren Aktivitäten. Wer diese Schicht kontrolliert, kann laut Sygnia Zugangsdaten in dem Moment abgreifen, in dem sie verwendet werden, administrative Tätigkeiten mitlesen und die Grenze zwischen legitimen Konten und bösartigem Handeln verwischen. Router, Hypervisoren und vergleichbare Systeme müssten daher als forensische Objekte erster Ordnung behandelt werden, die Überwachung, Härtung und Vorbereitung auf Sicherheitsvorfälle erfordern.
Angriffe chinesischer Gruppen auf Cisco-Netzwerktechnik sind seit Längerem dokumentiert. 2024 wurde Volt Typhoon dabei beobachtet, wie die Einheit Cisco-Router und Netzwerkgeräte am Ende ihres Lebenszyklus in den USA, Großbritannien und Australien ins Visier nahm. Im vergangenen Jahr berichteten Verteidiger von mehr als 1.000 angegriffenen Cisco-Netzwerkgeräten im Rahmen der Salt-Typhoon-Kampagne. Zwischen September und Dezember 2025 warnten Palo Alto Networks’ Unit 42 und die US-Cyberabwehrbehörde wiederholt vor Angriffen China-basierter Akteure auf Cisco Adaptive Security Appliances (ASA).
Andrew Obadiaru, Vice President bei Cobalt, hob hervor, wie viel Aufwand Fire Ant betrieb, um auf Infrastruktur unsichtbar zu bleiben, die Verteidiger selten genau beobachten. Solche Geräte lägen typischerweise außerhalb der Reichweite von Sicherheitswerkzeugen und seien attraktiv, weil sie keine Alarme auslösten. Das Muster langer, infrastrukturnaher Verweildauer passe zu anderen chinesischen Spionage-Clustern mit Fokus auf Telekommunikations- und Netzwerkinfrastruktur und spreche für eine fortlaufende statt periodische Überprüfung der Vertrauensbeziehungen in der Management-Infrastruktur.