Sygnia riferisce che Fire Ant è passato dagli ambienti VMware all’infrastruttura di rete: nel 2026 ha colpito router Cisco IOS XR, server TACACS e host Linux di gestione. Il punto non è più un singolo sistema compromesso, ma il livello che decide chi si autentica, come scorre il traffico e quali prove restano visibili.
Secondo Sygnia, il gruppo ha usato quei sistemi per osservare il traffico, raccogliere credenziali e sopprimere telemetria e tracce operative. In pratica, controllare router e autenticazione centrale significa stare nel punto da cui si vede passare la rete e da cui si può alterare ciò che i difensori usano per ricostruire l’intrusione.
Per i team che si affidano a identity, logging e gestione remota centralizzati, il rischio è una compromissione che sposta il problema oltre l’endpoint: l’attaccante può muoversi verso ambienti fidati senza dover prima toccare la flotta di host, e può anche rendere meno affidabili le evidenze usate per contenere l’incidente.
China-linked hackers turn Cisco routers into covert attack infrastructure
Fire Ant’s compromise of TACACS servers and manipulation of router telemetry shows how control of core network systems can leave defenders with incomplete evidence while exposing paths toward sensitive connected networks.