🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um ator de espionagem cibernética do nexo chinês rastreado como Fire Ant expandiu uma campanha de longa duração além dos hipervisores VMware para comprometer roteadores Cisco IOS XR, servidores Terminal Access Controller Access-Control System (TACACS) e hosts de gerenciamento Linux usados para rotear, autenticar e gerenciar redes de alto valor.
Sygnia, a empresa de resposta a incidentes que investigou a intrusão, disse que o ator transformou os roteadores comprometidos em plataformas de coleta, capturando o tráfego de rede, colhendo credenciais e suprimindo o registro e a telemetria dos quais os defensores dependem para reconstruir um ataque.
A empresa avaliou que o grupo de hackers usou sua posição para explorar caminhos para ambientes conectados de alto valor, incluindo infraestrutura crítica. No entanto, a atividade contra essas redes limitou-se a tentativas de verificação e conexão, em vez de comprometimento confirmado.
O controle dos roteadores deu ao ator uma vantagem sobre o tráfego que se desloca através de caminhos de rede confiáveis, disse Sygnia.
“Essa atividade reforça uma das principais observações da investigação: quando um agente de ameaça controla roteadores, ele não apenas ganha alcance. Ele ganha perspectiva”, disse a empresa.
A empresa avaliou que a atividade se sobrepõe fortemente aos relatórios públicos sobre o UNC3886, um grupo de espionagem do nexo da China conhecido por ter como alvo plataformas de virtualização e dispositivos de borda de rede, embora tenha dito em seu relatório que não faz uma atribuição conclusiva.
A Mandiant, que documentou pela primeira vez o UNC3886, disse que não encontrou nenhuma sobreposição técnica entre o grupo e as operações chinesas separadas rastreadas como Salt Typhoon e Volt Typhoon.
A atividade de 2026 segue a divulgação do Fire Ant pela Sygnia em julho de 2025, que detalhou a exploração do grupo dos ambientes VMware ESXi e vCenter antes de passar para as camadas de rede e gerenciamento.
A investigação começou com uma anomalia em um roteador Cisco IOS XR, onde uma interface de túnel Generic Routing Encapsulation (GRE) estava operando sem configuração em execução ou histórico de commit para explicar como ela foi criada. Sygnia não identificou como o ator obteve acesso ao roteador pela primeira vez.
O rastreamento do túnel levou os investigadores a um sistema Linux legado, a partir do qual o Fire Ant executou repetidas tentativas de conexão e sondagens de portas em portas administrativas e de serviço em redes conectadas, incluindo SSH, HTTP, SMB e RDP.
O malware do roteador foi desenvolvido especificamente para o plano de controle IOS XR, em vez de um dispositivo Linux genérico. Um componente incorporou uma biblioteca de sistema modificada que verificava cada mensagem de registro de saída em busca da string Health e a encaminhava somente quando a string estava presente.
Um componente separado alterou o caminho de execução de comando do roteador para anexar um | exclui filtro para mostrar comandos, ocultando a configuração do túnel do invasor dos administradores que inspecionam o dispositivo.
A Fire Ant então usou os roteadores para capturar capturas de pacotes (PCAPs) de vários dispositivos Cisco. As capturas foram enviadas para servidores FTP externos, um dos quais parecia ter sido instalado no mesmo dia em que os uploads ocorreram.
No servidor TACACS, a Sygnia identificou um conjunto de ferramentas de coleta de credenciais que rastreia como TacTap.
Um injetor chamado acppid carregou uma biblioteca maliciosa no processo de autenticação tac_plus em execução. A biblioteca conectou as funções que aceitam novas conexões. Em seguida, ele passou os identificadores de sessão ao vivo para um segundo processo em um soquete Unix local.
As credenciais capturadas foram gravadas em /var/log/.tacplus.acct e levemente ofuscadas com uma chave XOR de byte único de 0xEF.
“Até onde sabemos, esta técnica específica de injeção de biblioteca tac_plus não foi descrita publicamente antes, tornando-a uma evolução notável da técnica de coleta de credenciais focada em TACACS da Fire Ant”, disse Sygnia.
O roubo de credenciais de servidores TACACS é uma prática estabelecida para o cluster, já que a Mandiant documentou anteriormente o UNC3886 implantando um sniffer TACACS+ chamado LOOKOVER e substituindo o daemon tac_plus por uma versão backdoor para registrar credenciais.
A Sygnia também recuperou uma segunda nova ferramenta, um backdoor Linux chamado BridgeAgent, que foi implantado no host conectado por túnel e disfarçado como um agente de monitoramento Zabbix.
O implante persistiu por meio de uma unidade systemd zabbix_agent.service executada como root, disfarçou seu processo como /usr/bin/gnome-shell e pesquisou a infraestrutura do invasor por TLS na porta 443 em busca de comandos e instruções de shell reverso.
Em todos os hosts de gerenciamento Linux, o Fire Ant construiu uma camada de acesso durável usando rootkits Medusa e REPTILE de código aberto, backdoors SSH personalizados e binários renomeados e com data e hora para representar os agentes de segurança de endpoint SentinelOne e Cybereason.
Vários desses componentes foram plantados em 2025 e reutilizados para atividades práticas em 2026. Pelo menos um backdoor continuou funcionando na memória depois que seu arquivo foi removido.
Sygnia, a empresa de resposta a incidentes que investigou a intrusão, disse que o ator transformou os roteadores comprometidos em plataformas de coleta, capturando o tráfego de rede, colhendo credenciais e suprimindo o registro e a telemetria dos quais os defensores dependem para reconstruir um ataque.
A empresa avaliou que o grupo de hackers usou sua posição para explorar caminhos para ambientes conectados de alto valor, incluindo infraestrutura crítica. No entanto, a atividade contra essas redes limitou-se a tentativas de verificação e conexão, em vez de comprometimento confirmado.
O controle dos roteadores deu ao ator uma vantagem sobre o tráfego que se desloca através de caminhos de rede confiáveis, disse Sygnia.
“Essa atividade reforça uma das principais observações da investigação: quando um agente de ameaça controla roteadores, ele não apenas ganha alcance. Ele ganha perspectiva”, disse a empresa.
A empresa avaliou que a atividade se sobrepõe fortemente aos relatórios públicos sobre o UNC3886, um grupo de espionagem do nexo da China conhecido por ter como alvo plataformas de virtualização e dispositivos de borda de rede, embora tenha dito em seu relatório que não faz uma atribuição conclusiva.
A Mandiant, que documentou pela primeira vez o UNC3886, disse que não encontrou nenhuma sobreposição técnica entre o grupo e as operações chinesas separadas rastreadas como Salt Typhoon e Volt Typhoon.
A atividade de 2026 segue a divulgação do Fire Ant pela Sygnia em julho de 2025, que detalhou a exploração do grupo dos ambientes VMware ESXi e vCenter antes de passar para as camadas de rede e gerenciamento.
A investigação começou com uma anomalia em um roteador Cisco IOS XR, onde uma interface de túnel Generic Routing Encapsulation (GRE) estava operando sem configuração em execução ou histórico de commit para explicar como ela foi criada. Sygnia não identificou como o ator obteve acesso ao roteador pela primeira vez.
O rastreamento do túnel levou os investigadores a um sistema Linux legado, a partir do qual o Fire Ant executou repetidas tentativas de conexão e sondagens de portas em portas administrativas e de serviço em redes conectadas, incluindo SSH, HTTP, SMB e RDP.
O malware do roteador foi desenvolvido especificamente para o plano de controle IOS XR, em vez de um dispositivo Linux genérico. Um componente incorporou uma biblioteca de sistema modificada que verificava cada mensagem de registro de saída em busca da string Health e a encaminhava somente quando a string estava presente.
Um componente separado alterou o caminho de execução de comando do roteador para anexar um | exclui filtro para mostrar comandos, ocultando a configuração do túnel do invasor dos administradores que inspecionam o dispositivo.
A Fire Ant então usou os roteadores para capturar capturas de pacotes (PCAPs) de vários dispositivos Cisco. As capturas foram enviadas para servidores FTP externos, um dos quais parecia ter sido instalado no mesmo dia em que os uploads ocorreram.
No servidor TACACS, a Sygnia identificou um conjunto de ferramentas de coleta de credenciais que rastreia como TacTap.
Um injetor chamado acppid carregou uma biblioteca maliciosa no processo de autenticação tac_plus em execução. A biblioteca conectou as funções que aceitam novas conexões. Em seguida, ele passou os identificadores de sessão ao vivo para um segundo processo em um soquete Unix local.
As credenciais capturadas foram gravadas em /var/log/.tacplus.acct e levemente ofuscadas com uma chave XOR de byte único de 0xEF.
“Até onde sabemos, esta técnica específica de injeção de biblioteca tac_plus não foi descrita publicamente antes, tornando-a uma evolução notável da técnica de coleta de credenciais focada em TACACS da Fire Ant”, disse Sygnia.
O roubo de credenciais de servidores TACACS é uma prática estabelecida para o cluster, já que a Mandiant documentou anteriormente o UNC3886 implantando um sniffer TACACS+ chamado LOOKOVER e substituindo o daemon tac_plus por uma versão backdoor para registrar credenciais.
A Sygnia também recuperou uma segunda nova ferramenta, um backdoor Linux chamado BridgeAgent, que foi implantado no host conectado por túnel e disfarçado como um agente de monitoramento Zabbix.
O implante persistiu por meio de uma unidade systemd zabbix_agent.service executada como root, disfarçou seu processo como /usr/bin/gnome-shell e pesquisou a infraestrutura do invasor por TLS na porta 443 em busca de comandos e instruções de shell reverso.
Em todos os hosts de gerenciamento Linux, o Fire Ant construiu uma camada de acesso durável usando rootkits Medusa e REPTILE de código aberto, backdoors SSH personalizados e binários renomeados e com data e hora para representar os agentes de segurança de endpoint SentinelOne e Cybereason.
Vários desses componentes foram plantados em 2025 e reutilizados para atividades práticas em 2026. Pelo menos um backdoor continuou funcionando na memória depois que seu arquivo foi removido.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #formiga #de #fogo #ligada #à #china #sequestra #roteadores #cisco #para #roubar #credenciais #e #ocultar #registros #de #segurança
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário