El grupo de amenazas Fire Ant ha evolucionado sus tácticas, pasando de atacar sistemas individuales a comprometer la infraestructura de red. Específicamente, han utilizado routers Cisco IOS XR como plataformas para realizar vigilancia, establecer conectividad remota y acceder a entornos de alto valor y infraestructuras críticas.

Fire Ant ha ido más allá de atacar sistemas individuales y ahora está comprometiendo la infraestructura de red en la que las organizaciones confían para mover el tráfico y gestionar el acceso.

El actor ha convertido los routers Cisco IOS XR en plataformas para la vigilancia, la conectividad remota y el movimiento hacia entornos de alto valor.

La campaña muestra cómo un intruso puede utilizar un router como algo más que una pasarela. Fire Ant creó un túnel GRE ausente en la configuración en ejecución y en los registros de confirmación, capturó el tráfico de red y envió archivos PCAP a servicios FTP externos.

Sygnia afirmó en un informe que también interfirió con los registros y la salida de comandos, dejando a los administradores con una visión incompleta de la actividad.

Los analistas de Sygnia identificaron la actividad mientras examinaban una intrusión que se extendía a través de routers, hosts de gestión Linux y servidores de autenticación TACACS.

Fire Ant fue reportado por primera vez en 2025 y se mantuvo activo hasta 2026, expandiendo su enfoque desde los hipervisores hacia los sistemas que enrutan, autentican y monitorizan las operaciones empresariales.

El riesgo va más allá de la organización vulnerada. Desde un sistema Linux en el extremo del túnel, los operadores sondearon sistemas asociados con infraestructuras críticas, utilizando la red comprometida como puente.

Esto recuerda la amenaza que suponen las campañas de despliegue de malware en routers, donde el control de un dispositivo puede exponer datos y abrir una ruta más profunda dentro de un entorno.

Hackers Comprometen Routers de Cisco

El kit de herramientas para routers de Fire Ant fue creado para el plano de control de IOS XR. Un script de persistencia en /etc/rc.d/init.d/grub-rommon lanzaba un implante disfrazado de /usr/bin/acpid en horas alternas, reduciendo la visibilidad.

El implante modificaba el flujo de syslog del router, evitando selectivamente que se entregaran algunos mensajes, mientras que otro componente utilizaba las funciones de enrutamiento de IOS XR y de gestión Telnet para la comunicación saliente.

Un componente separado alteraba la ejecución de comandos para que los comandos "show" pudieran añadir filtros de exclusión, ocultando los detalles relacionados con el túnel.

Esa combinación hizo que los routers fueran útiles para el ocultamiento y la recolección. Fire Ant capturó paquetes de varias interfaces del router y cargó los datos en una infraestructura FTP externa.

Las capturas de paquetes pueden revelar diseños de red, conexiones, intercambios de autenticación y relaciones entre sistemas que los defensores podrían tratar como independientes.

El informe también describió un host Linux que ejecutaba BridgeAgent, una puerta trasera disfrazada de proceso de monitorización. Almacenaba configuraciones cifradas en /opt/.ICEauthority y contactaba con la infraestructura externa a través de TLS. El host se convirtió en un punto de despliegue para el escaneo y el acceso a través del túnel GRE.

La Autenticación y la Evidencia Bajo Ataque

Fire Ant también atacó TACACS, un servicio que autentica y registra la administración de dispositivos de red. Su conjunto de herramientas TacTap inyectaba una librería maliciosa en el proceso tac_plus, interceptaba las sesiones aceptadas y escribía el material de credenciales recolectado en un artefacto de registro ofuscado.

Esto socava los registros utilizados para investigar su uso. En los servidores de gestión Linux, el actor añadió puertas traseras SSH personalizadas y componentes relacionados con Medusa, utilizó nombres similares a los de servicios normales y desactivó o debilitó SELinux.

Una puerta trasera activada por paquetes podía esperar a que llegara tráfico de red especialmente marcado antes de activarse, mientras que la redirección de puertos y el reenvío de IP soportaban el tunelizado encubierto.

Actividades similares de routers vinculados a China han demostrado por qué la telemetría de los dispositivos de red merece el mismo escrutinio que la evidencia de los endpoints.

Quienes respondan deben tratar los routers, los sistemas de autenticación, los hipervisores, los hosts de salto y los dispositivos de gestión como activos forenses y de seguridad fundamentales.

Las investigaciones deberían comparar los registros con la memoria, el disco, la red, la autenticación y la evidencia de configuración, en lugar de confiar en una sola fuente de datos.

Los defensores deberían investigar urgentemente interfaces GRE no aprobadas, la creación inexplicable de PCAP en routers, tráfico FTP o SCP saliente, lagunas en la contabilidad de comandos, inyecciones sospechosas en tac_plus y procesos eliminados que permanezcan activos.

Revisar la exposición externa y la segmentación es igualmente importante para las organizaciones conectadas a redes operativas.

Hallazgos recientes de red teams en infraestructuras críticas subrayan cómo los controles de red e identidad débiles pueden convertir un acceso inicial en un acceso mucho más amplio.

Las organizaciones deberían rotar las credenciales administrativas potencialmente expuestas en todos los niveles, restaurar y verificar los controles de seguridad, recolectar evidencia volátil antes de la limpieza y realizar búsquedas exhaustivas de los indicadores a continuación en routers y sistemas Linux.

Eliminar un solo archivo es poco probable que sea suficiente porque Fire Ant utilizó rutas de acceso y persistencia superpuestas que requieren una respuesta coordinada completa en cada capa tecnológica afectada.