Hackers obligan a Cisco a ocultar su propia intrusión; ya no se puede confiar en los registros ni en los comandos

Los enrutadores Cisco, en los que los administradores confiaban para el control de la red y los registros de eventos, se convirtieron en herramientas de vigilancia. El clúster vinculado a China Fire Ant capturó dispositivos que ejecutaban Cisco IOS XR, interceptó el tráfico que pasaba por ellos, robó credenciales y, a la vez, ocultó su actividad ante los defensores.

La investigación comenzó con un detalle extraño. En uno de los enrutadores había un túnel GRE que no figuraba ni en la configuración actual ni en el historial de cambios. Un análisis posterior mostró que los atacantes podían alterar la propia representación que el dispositivo tenía de su configuración, por lo que los comandos administrativos habituales ya no reflejaban el estado real del sistema.

Para Cisco IOS XR, los atacantes desarrollaron un conjunto especializado de componentes. El implante acpid intervenía en el registro del sistema y bloqueaba mensajes de forma selectiva, y un módulo separado modificaba el procesamiento de los comandos show y añadía automáticamente filtros que ocultaban información sobre el túnel malicioso. Otro componente mantenía conexiones Telnet salientes con la infraestructura de los operadores. Para reducir su visibilidad, acpid se ejecutaba en horas impares y se detenía en horas pares.

Los enrutadores comprometidos se convirtieron en puntos completos de recolección de inteligencia. Fire Ant generaba volcados del tráfico de red en varios dispositivos Cisco y enviaba archivos PCAP a servidores FTP externos. Ese acceso permitía ver la topología interna, las conexiones administrativas, las rutas y los flujos entre redes relacionadas de forma mucho más amplia que con la compromisión de un servidor aislado.

El siguiente objetivo fue la infraestructura TACACS+, a través de la cual las organizaciones verifican credenciales administrativas y registran las acciones de los operadores. La herramienta TacTap inyectaba una biblioteca maliciosa directamente en el proceso tac_plus, interceptaba nuevas sesiones y almacenaba las credenciales robadas para el acceso. Tras esa compromisión, no se podía confiar en los registros de autenticación sin verificación adicional.

En los hosts Linux de gestión, Fire Ant desplegó BridgeAgent, puertas traseras SSH propias, componentes Medusa y un programa que permanecía inactivo hasta recibir un paquete de red especialmente formado. Los atacantes desactivaban SELinux, modificaban las reglas de iptables, falsificaban los registros de acceso y camuflaban procesos maliciosos como software de protección legítimo.

Sygnia observa una fuerte similitud entre Fire Ant y el grupo espía chino UNC3886, que previamente atacó VMware, Fortinet e infraestructura de red. Sin embargo, la empresa habla de un solapamiento de métodos e instrumentos, no de una coincidencia probada total entre los grupos. El objetivo principal de la campaña parece más amplio que el asentamiento habitual dentro de una sola empresa. El control de los enrutadores, los sistemas de autenticación y los servidores de gestión creó un punto conveniente para la recopilación de inteligencia de redes relacionadas, incluida infraestructura de alto valor.

Los especialistas recomiendan considerar a los enrutadores y otros nodos de gestión como objetos completos de análisis forense digital. Cisco publica por separado el procedimiento de análisis de IOS XR. En el caso de Fire Ant, una sola comprobación de los registros no es suficiente, ya que los atacantes cambiaron deliberadamente las mismas fuentes de telemetría. Es necesario contrastar el estado de los dispositivos con la memoria, los discos, el tráfico de red, la configuración y los registros externos.