Китайские хакеры, использующие технологию «Огненный муравей», превратили маршрутизаторы Cisco в платформы для слежки.

[admin]

Исследователи обнаружили новую тактику Fire Ant, выявив активный туннельный интерфейс GRE (Generic Routing Encapsulation) на маршрутизаторе Cisco IOS XR, который не удавалось объяснить с помощью текущей конфигурации или истории изменений.


По данным компании Sygnia, специализирующейся на реагировании на инциденты, злоумышленник переключился с атак на гипервизоры VMware на компрометацию маршрутизаторов Cisco, серверов аутентификации TACACS и хостов управления Linux.


Исследователи обнаружили новую тактику Fire Ant, выявив на маршрутизаторе Cisco IOS XR активный туннельный интерфейс GRE (Generic Routing Encapsulation), который не удавалось объяснить с помощью текущей конфигурации или истории изменений.

Дальнейший анализ показал, что Fire Ant развернул на устройствах специально разработанное вредоносное ПО, обеспечивающее его постоянное присутствие благодаря поддельной системной службе, которая запускала вредоносный код только через день.


Вредоносная программа выборочно подавляла сообщения syslog, чтобы скрыть информацию, связанную с туннелем, от легитимных администраторов, устанавливала исходящие соединения Telnet с инфраструктурой Fire Ant и поддерживала интерактивный доступ к командной оболочке без ведения журналов.



Тактика уклонения Огненного Муравья
Источник: Sygnia

Злоумышленники также использовали свои административные права для перехвата трафика с нескольких маршрутизаторов и загрузки полученных файлов PCAP на внешние FTP-серверы.


Эти данные могут раскрыть внутреннюю топологию, административные соединения, потоки аутентификации, маршрутные связи и трафик, которым обмениваются подключенные сети.


«Такое поведение меняет роль маршрутизатора с транзитного устройства на платформу сбора данных», — объясняет Сигния .


«Как только злоумышленник получил контроль над маршрутизатором, устройство стало выгодной точкой наблюдения за трафиком, перемещающимся по доверенным сетевым каналам».


Скрытый GRE-туннель соединял один скомпрометированный маршрутизатор с устаревшим сервером Linux, который Fire Ant использовал в качестве системы для развертывания и разведки.


Затем злоумышленники начали исследовать системы в подключенных высокоприоритетных средах, включая системы, связанные с критической инфраструктурой, используя порты, обычно применяемые для SSH, веб-сервисов, SMB/RPC и RDP.


Компания Sygnia считает, что операция Fire Ant была направлена на компрометацию доверенной инфраструктуры у первоначальной жертвы и использование её в качестве скрытого канала для поиска путей доступа к подключенным высокоценным сетям — тактику, которую они называют «цель за целью».


Оперативный обзор
Источник: Sygnia

Исследователи также обнаружили ранее не описанный бэкдор под названием «BridgeAgent», который Fire Ant замаскировал под легитимный агент мониторинга Zabbix.


Бэкдор сохраняется как служба systemd с правами root и поддерживает обратные оболочки TLS, а также выполнение дополнительных полезных нагрузок на скомпрометированном хосте.


Функция GRE-туннелирования, лежащая в основе BridgeAgent.
Источник: Sygnia

Компания Sygnia утверждает, что деятельность Fire Ant в значительной степени совпадает с деятельностью UNC3886, китайской шпионской группы, ранее задокументированной Google. Однако исследователи отмечают различия в именах файлов, путях и деталях реализации.


Исследователи предупредили, что Fire Ant систематически вмешивается в системные журналы и записи, даже изменяя метки времени файлов, чтобы скрыть улики, которые могли бы быть полезны следователям, отметив, что журналы, полученные из скомпрометированной инфраструктуры, следует сверять с другими данными.

Источник