近年来,中国网络威胁组织的技术手段日益精进化和复杂化,引起全球网络安全界的广泛关注。其中,Fire Ant(火焰蚁)组织作为一支具有国家背景的高级持续性威胁团队,近期将攻击重点从虚拟化平台转向了网络基础设施核心组件。安全研究公司Sygnia发布的详细调查报告揭示了该组织如何利用思科路由器作为突破口,构建起覆盖目标网络的全面监听体系。本文将全面分析这起攻击事件的技术细节、攻击链演进过程以及有效的防御策略。 Fire Ant组织并非网络安全领域的新面孔。此前,该组织曾针对VMware虚拟化平台发动过针对性攻击,成功渗透多家企业的Hypervisor层并获取了虚拟机监控层面的最高权限。
然而,随着防御技术的不断升级和虚拟化安全意识的提高,该组织迅速调整了攻击策略,将目标转向了网络架构中更底层、更关键的基础设施组件。这种战术转变表明,威胁行为者正在积极寻找传统安全防护的盲区,而网络边界设备恰恰是许多企业安全体系中相对薄弱的环节。 本次调查的起点是一次看似平常的网络异常检测。安全研究人员在例行巡检过程中,意外发现一台运行思科IOS XR操作系统的边界路由器上存在一个未经授权的GRE隧道配置。这条隧道并未出现在任何已知的网络变更记录中,也未获得网络管理员的授权批准。这一发现立即引起了分析团队的高度警觉,因为GRE隧道通常被用于建立点对点的加密传输通道,是攻击者隐藏通信流量的常用手段之一。
深入调查的结果令人震惊。研究人员发现,攻击者已经在该路由器上部署了专门为IOS XR平台定制的恶意软件组件。这些组件经过精心设计,能够与路由器固件深度整合,使得传统安全检测工具难以发现其存在。其中一个恶意模块负责实时过滤系统日志,专门隐藏与GRE隧道相关的所有活动记录,使管理员在查看日志时完全无法察觉异常网络连接的存在。另一个模块则更为隐蔽,它会拦截管理员输入的show命令执行请求,自动在命令参数中添加exclude过滤条件,从而确保即使管理员主动查询路由器配置,也不会看到任何能够暴露恶意隧道存在的输出信息。这种攻击技术充分利用了路由器操作系统的特性,将恶意行为伪装成正常的系统响应,堪称教科书级别的供应链攻击范例。
被入侵的思科路由器在攻击体系中扮演着流量中转站的关键角色。攻击者通过建立的GRE隧道,将流经路由器的网络流量复制并重定向至外部FTP服务器。复制的流量以PCAP格式存储,这是一种通用的网络数据包捕获格式,能够完整记录经过路由器的所有通信内容。通过分析这些流量捕获文件,攻击者可以获取极其敏感的网络信息,包括内部网络拓扑结构、各网段之间的互联关系、管理员远程登录会话的完整内容、网络设备之间的认证凭证以及不同安全域之间的数据交换情况。这种全流量监听能力使攻击者能够绘制出目标网络的完整地图,为后续深入渗透提供精确的情报支持。 从被入侵的路由器出发,攻击者的控制范围延伸至后端Linux服务器。
这台服务器作为整个攻击行动的中枢节点,承担着网络侦察和横向移动的双重职能。攻击者以其为跳板,对目标网络的各个子网进行系统性的端口扫描和服务探测。他们尝试建立SSH连接以获取远程命令行访问,扫描HTTP服务寻找Web应用漏洞,探测SMB共享寻找文件服务器弱点,同时也不放弃对RDP远程桌面服务的暴力破解尝试。这种多维度、广泛的侦察活动表明,攻击者正在积极探索从网络边缘向核心系统推进的可行路径。 值得注意的是,攻击者对关键基础设施表现出明显的兴趣,尽管最终未能成功渗透这些高价值目标。安全研究人员观察到针对发电厂、水处理设施和通信基站等重要系统的扫描活动,但这些目标似乎得到了额外的安全保护,攻击者只能在边缘徘徊。
然而,即便如此,这些扫描活动本身已经暴露了攻击者的战略意图。他们采用的这种攻击模型被安全专家称为"目标背后的目标",即通过入侵一个相对容易攻破的初始入口,进而以此为跳板对更有价值的系统发动下一阶段攻击。这种策略极大地增加了攻击的隐蔽性和成功率,因为初始受害者的安全告警往往不会引起足够的重视。 在攻击者使用的众多工具中,对TACACS服务器的攻击尤为引人注目。TACACS是一种用于集中管理网络设备认证和授权的协议,在大型企业网络中扮演着核心角色。对这些服务器的成功入侵意味着攻击者可以获取管理所有网络设备所需的最高权限凭证。
安全研究人员在被入侵的TACACS服务器上发现了一套名为TacTap的工具集,专门设计用于窃取认证凭据。其中名为acppid的恶意组件会将自己的代码注入到正在运行的 tac_plus 进程空间中,通过挂钩进程的网络连接处理函数,实时捕获所有新建连接的认证信息。被窃取的会话数据被发送到另一个专门的恶意进程进行进一步处理,最终以加密形式保存在系统日志目录的隐藏文件中。加密方式出人意料地简单,只是使用了单字节XOR算法配合密钥0xEF。这种看似脆弱的加密实际上足以躲避大多数基于关键词匹配的安全扫描工具。安全专家确认,这种针对 tac_plus 进程的进程注入技术在野外部署还是首次被发现。
Linux后门程序BridgeAgent是攻击者工具库中的另一件利器。这个后门程序被精心伪装成企业常用的Zabbix监控代理软件,以规避运维人员的日常检查。它通过systemd服务管理器实现持久化启动,每次系统重启后都会自动运行且拥有root最高权限。在进程伪装方面,攻击者将后门的主进程命名为与GNOME桌面环境组件完全相同的/usr/bin/gnome-shell,这种巧妙的命名策略使得即使管理员通过进程列表进行检查,也很难将其与正常的系统进程区分开来。后门与命令控制服务器的通信采用TLS加密协议,通过标准的443端口传输,使得其流量与正常的HTTPS通信几乎无法区分。该后门支持的功能相当完善,包括远程命令执行、任意文件下载上传以及反向Shell建立,几乎涵盖了攻击者进行远程控制所需的全部能力。
在已经沦陷的Linux管理主机上,攻击者部署了一套完整的持久化工具包,旨在长期维持对目标网络环境的控制。这套工具包包含了多个功能各异的恶意组件:Medusa和REPTILE是两款知名的内核级Rootkit,能够深度隐藏恶意进程、文件和网络连接,使受害者几乎不可能通过常规手段发现系统异常;定制的SSH后门程序允许攻击者在无需任何合法认证的情况下获得服务器的命令行访问权限;还有一些其他恶意组件被用来执行特定的侦察或数据窃取任务。攻击者在部署这些工具时展现出了极强的隐蔽意识,他们故意将恶意二进制文件的名称和时间戳修改成与合法安全软件相似的格式,例如伪装成SentinelOne或Cybereason的代理程序,以此迷惑后续的取证调查工作。这种嫁接策略不仅增加了检测难度,还能在事后混淆视听,使调查人员浪费大量时间在误判上。 一个值得特别关注的细节是,部分恶意工具早在2025年就已经被植入目标系统,并在2026年的新一轮攻击中继续发挥作用。这表明攻击者具有极强的耐心和长远的战略规划,他们愿意花费数年时间在目标网络中建立稳固的据点。
更令人惊讶的是,即使安全人员发现了这些恶意文件并将其从磁盘上删除,其中一个后门程序仍然能够继续在系统内存中运行。这揭示了内存驻留型恶意软件的危险性:传统的基于磁盘扫描的杀毒软件和磁盘清理操作对这类威胁完全无效,受害者必须在完全断电的情况下重装系统才能根除感染。 攻击者在掩盖行踪方面同样展现出了专业的技术水平。他们在Cisco路由器上禁用或过滤掉了所有系统告警和事件通知功能,确保任何配置变更都不会触发安全告警。在被入侵的Linux主机上,他们采取了一系列反取证操作:关闭SELinux强制访问控制系统以获取更大的操作自由度,修改系统日志文件删除自己登录和命令执行的痕迹,清理历史记录和审计日志中的敏感信息。此外,攻击者还系统性地修改了恶意文件和配置文件的创建时间、修改时间和访问时间属性,试图使事件时间线变得模糊,增加事后调查和取证的难度。
这些手法表明,Fire Ant组织拥有成熟的网络作战能力,其成员不仅精通攻击技术,也深谙反侦察和反取证之道。 基于上述技术分析,安全研究团队认为Fire Ant组织的活动与中国国家背景的间谍组织UNC3886存在密切关联。UNC3886此前已知的攻击活动集中在虚拟化平台和网络设备领域,其技术特点和战术手法与本次事件中观察到的特征高度吻合。虽然目前尚无法百分百确认两者之间的确切关系,但攻击者展现出的技术水平、资源投入程度和战略目标选择都指向同一个结论:这是一起由国家级行为者主导的长期网络间谍行动。 面对此类高级威胁,组织需要采取多层次、综合性的防御策略。首先,网络设备的安全配置和定期审计必须得到足够重视。
所有路由器的配置文件变更都应纳入变更管理系统,任何未经授权的配置修改都应立即触发告警。其次,应该部署专门的网络流量分析解决方案,对进出网络设备的异常连接和协议行为进行实时监控,特别是对GRE隧道等非常用协议的使用要保持高度警惕。第三,TACACS等集中认证系统应当被列为最高保护等级资产,对其访问日志和系统调用进行详细记录和分析。第四,在Linux服务器上启用内存完整性保护和运行时行为检测机制,以应对日益增长的内存驻留型恶意软件威胁。最后,定期进行红蓝对抗演练和渗透测试,模拟高级威胁行为者的攻击路径,及时发现和修补安全防线中的薄弱环节。 Fire Ant组织的活动再次提醒我们,网络安全的边界已经远远超出了传统的服务器和终端设备。
当攻击者能够控制网络核心的路由基础设施时,他们获得的不仅是被动监听能力,更是主动塑造和控制网络通信的主动权。这种能力的获取对于任何组织来说都是灾难性的,因为它意味着攻击者可以在任何时候、以任何方式与目标网络中的任何系统进行交互,而传统的安全监测手段却很难察觉这种深层次的渗透。因此,组织必须从战略高度重视网络基础设施的安全,将路由交换设备、认证服务器和集中管理平台纳入安全防护的核心范畴,建立起能够应对国家级威胁的纵深防御体系。 。
