Fire Ant trasforma i router in punti d’osservazione segreti
Fire Ant ha ampliato la propria campagna e ha compromesso router Cisco IOS XR, server TACACS e host Linux di gestione, passando dalla virtualizzazione al piano di rete e di amministrazione. Sygnia ha osservato che l’accesso ai router è stato usato per raccogliere traffico, sottrarre credenziali amministrative e sopprimere logging e telemetry.
Il punto non è solo l’intrusione sul singolo apparato. Chi controlla il router vede passare il traffico fidato, può copiare i dati che lo attraversano e togliere ai difensori le tracce necessarie per ricostruire l’attacco; in questo caso l’attore ha anche usato quel punto di vista per esplorare reti collegate e tentare connessioni verso ambienti di alto valore.
Per gli operatori telco e per chi gestisce infrastrutture critiche, il rischio non resta confinato al dispositivo compromesso. Un router o un server TACACS esposto diventa un punto di sorveglianza sull’intera rete connessa, e le credenziali raccolte lì vanno trattate come compromesse anche dopo il ripristino del singolo sistema.