黑客入侵思科路由器，监视网络并向关键基础设施横向渗透

Fire Ant已不再局限于攻击单个系统，而是开始入侵组织机构所依赖的负责流量转发与访问管理的网络基础设施。

该组织已将Cisco IOS XR路由器转化为用于监视、远程连接以及向高价值环境渗透的平台。

此次攻击活动表明，入侵者可以将路由器用作远超“网关”的工具。Fire Ant创建了一条不在运行配置和提交记录中的GRE隧道，捕获网络流量，并将PCAP文件发送至外部FTP服务。

Sygnia在与Cyber Security News（CSN）分享的一份报告中指出，该组织还干扰了日志和命令输出，导致管理员只能看到不完整的活动记录。

Sygnia的分析师在调查一起横跨路由器、Linux管理主机和TACACS认证服务器的入侵事件时发现了上述活动。

Fire Ant于2025年首次被报告，并持续活跃至2026年，其攻击重点从虚拟机监控程序扩展到了承担路由、认证和企业运维监控功能的系统。

风险远远超出被入侵组织本身。攻击者从隧道远端的Linux系统出发，以被入侵网络为跳板，对与关键基础设施相关的系统进行了探测。

这与路由器恶意软件部署活动所带来的威胁如出一辙——控制一台网络设备就可能暴露数据，并为深入目标环境打开通道。

Part01

黑客入侵思科路由器

Fire Ant的路由器工具包专为IOS XR控制平面而构建。位于/etc/rc.d/init.d/grub-rommon的持久化脚本每隔一小时启动一个伪装为/usr/bin/acpid的植入程序，以此降低暴露风险。

该植入程序修改了路由器的syslog日志流，有选择性地阻止消息发送，同时另一个组件利用IOS XR路由和Telnet管理功能进行出站通信。

另一个独立组件则篡改命令执行逻辑，使show命令能够附加排除过滤器，从而隐藏与隧道相关的细节。

上述组合使这些路由器兼具隐蔽和数据收集能力。Fire Ant从多个路由器接口捕获数据包，并将数据上传至外部FTP基础设施。

数据包捕获可以揭示网络拓扑、连接关系、认证交互以及系统之间的关联——而这些信息在防御者眼中往往被视作彼此独立。

报告还描述了一台运行BridgeAgent的Linux主机。BridgeAgent是一个伪装成监控进程的后门程序，将加密配置存储在/opt/.ICEauthority中，并通过TLS与外部基础设施通信。该主机成为了通过GRE隧道进行扫描和访问的中转站。

Part02

认证与证据遭遇攻击

Fire Ant还将目标对准了TACACS——一项负责认证并记录网络设备管理操作的服务。其TacTap工具集向tac_plus进程注入了恶意库，拦截已通过的会话，并将收集到的凭证材料写入一个经过混淆处理的日志文件中。

这一行为破坏了用于调查其活动的记录。在Linux管理服务器上，攻击者添加了自定义SSH后门和与Medusa相关的组件，使用看似正常的服务名称，并禁用或削弱了SELinux。

一个由数据包触发的后门可以等待特殊标记的网络流量到来后才激活，而端口重定向和IP转发则被用于支持隐蔽隧道。

类似的具有中国背景的路由器攻击活动已经表明，网络设备遥测数据理应获得与终端证据同等级别的审查。

应急响应人员应将路由器、认证系统、虚拟机监控程序、跳板主机和管理设备视为核心安全与取证资产。

调查工作应当将日志与内存、磁盘、网络、认证和配置证据进行交叉比对，而非仅依赖单一数据源。

防御者应紧急排查以下异常：未授权的GRE接口、路由器上无法解释的PCAP创建行为、出站FTP或SCP流量、命令审计记录缺失、可疑的tac_plus注入以及已删除但仍处于活跃状态的进程。

对于与运营网络相连的组织而言，审查外部暴露面和网络分段同样重要。

近期关键基础设施红队测试的发现表明，薄弱的身份和网络控制可能将初始立足点转化为更大范围的访问权限。

各组织应轮换所有层级中可能已暴露的管理凭证，恢复并验证安全控制措施，在清理之前收集易失性证据，并在路由器和Linux系统上针对下述指标开展全面威胁狩猎。

仅删除单个文件很可能远远不够，因为Fire Ant使用了相互重叠的持久化和访问路径，需要在所有受影响的技术层面进行完整、协同的响应。

入侵指标（IoCs）：

注：IP地址和域名已刻意进行防御化处理（例如[.]），以防止被意外解析或点击。仅在MISP、VirusTotal或SIEM等受控威胁情报平台中恢复其原始格式。