Skupina kybernetických útočníků známá jako Fire Ant výrazně změnila svůj postup a začala se zaměřovat na síťovou infrastrukturu. Nově kompromituje routery Cisco, autentizační servery TACACS a linuxové správní hosty, přičemž dříve mířila především na hypervizory VMware. Na nový přístup upozornila společnost Sygnia, která se zabývá reakcí na bezpečnostní incidenty.
Výzkumníci odhalili novou taktiku poté, co na routeru Cisco IOS XR narazili na aktivní tunelové rozhraní GRE (Generic Routing Encapsulation), jehož existenci nebylo možné vysvětlit ani běžící konfigurací, ani historií provedených změn. Podrobnější analýza ukázala, že Fire Ant na zařízeních nasadil vlastní malware, který si zajišťoval trvalost prostřednictvím falešné systémové služby. Ta spouštěla implantát vždy jen v určitých hodinách, aby se ztížilo jeho odhalení.
Malware zároveň cíleně potlačoval vybrané zprávy v syslogu, aby před legitimními administrátory skryl informace související s tunelem, navazoval odchozí spojení Telnet směrem k infrastruktuře skupiny Fire Ant a umožňoval interaktivní přístup ke shellu bez jakéhokoli logování.
Z routeru se stává sběrné místo dat
Útočníci využívali svá administrátorská oprávnění k odchytávání provozu z několika routerů a výsledné soubory PCAP nahrávali na externí FTP servery. Takto zachycená data mohou odhalit vnitřní topologii sítě, administrátorská spojení, autentizační toky, směrovací vztahy i provoz vyměňovaný s připojenými sítěmi.
„Toto chování mění roli routeru z tranzitního zařízení na sběrnou platformu,“ vysvětluje Sygnia. „Jakmile útočník router ovládl, stalo se z něj výhodné stanoviště pro sledování provozu procházejícího důvěryhodnými síťovými cestami.“
Skrytý tunel GRE propojoval jeden z kompromitovaných routerů se starším linuxovým serverem, který Fire Ant využíval jako přípravný a průzkumný systém. Odtud útočníci prověřovali systémy v připojených prostředích s vysokou hodnotou, mezi něž patřily i systémy spojené s kritickou infrastrukturou, a to přes porty běžně používané pro SSH, webové služby, SMB/RPC a RDP.
Podle Sygnie bylo cílem operace kompromitovat důvěryhodnou infrastrukturu u prvotní oběti a využít ji jako skrytý most k prozkoumání přístupových cest do navazujících hodnotných sítí. Tuto taktiku výzkumníci označují jako „target behind the target“ (cíl za cílem).
Výzkumníci rovněž objevili dosud nezdokumentovaná zadní vrátka nazvaná BridgeAgent, která Fire Ant maskoval jako legitimního monitorovacího agenta Zabbix. Backdoor přetrvával jako služba systemd s oprávněními roota a podporoval reverzní shelly přes TLS i spouštění dalších payloadů na napadeném hostiteli.
Aktivita Fire Ant se podle Sygnie silně překrývá s čínskou špionážní skupinou UNC3886, kterou dříve dokumentoval Google. Výzkumníci nicméně upozorňují na rozdíly v názvech souborů, cestách a detailech implementace. Varovali také, že Fire Ant systematicky manipuluje se systémovými logy a záznamy, včetně změn časových značek souborů, aby zahladil stopy užitečné pro vyšetřovatele. Logy získané z kompromitované infrastruktury je proto podle nich nutné ověřovat proti jiným zdrojům dat. Zpráva Sygnie obsahuje rozsáhlý seznam indikátorů kompromitace (IoC) spolu s pravidly pro vyhledávání a YARA pravidly k detekci činnosti skupiny.
Zdroj: bleepingcomputer.com
