Hackers Compromise Cisco Routers to Spy on Networks and Reach Critical Infrastructure
2026/09/01 CyberSecurityNews — Fire Ant による侵害は、個々のシステムに対する攻撃の範囲を超え、組織におけるトラフィック転送やアクセス管理を担う、信頼されているネットワーク・インフラに及ぶようになった。この脅威アクターは、Cisco IOS XR ルーターを監視／リモート接続／高価値環境へ向けた移動のためのプラットフォームへと変貌させており、このキャンペーンは、単なるゲートウェイの利用に留まらず、侵入者がルーターを攻撃基盤として悪用する手法が確認されている。
Fire Ant は、running configuration／commit record 内に本来は存在しない GRE (Generic Routing Encapsulation) トンネルを作成し、ネットワーク・トラフィックをキャプチャして、PCAP (Packet Capture) ファイルを外部 FTP サービスへ送信するほか、ログ／コマンド出力にも干渉して、管理者が活動の全体像を把握できない状態にしている。Sygnia のアナリストがこの活動を特定したのは、ルーター／Linux 管理ホスト／TACACS 認証サーバにまたがる侵害を調査していたときである。
.webp)
最初に Fire Ant が報告されたのは 2025年であり、2026年に入っても活動を継続しているほか、標的もハイパーバイザーから、企業運用におけるルーティング／認証／監視を担うシステムへと拡大している。攻撃者は侵害したネットワークを中継点として悪用し、トンネルの反対側にある Linux システムの、重要インフラに関連するシステムを探索するため、そのリスクは侵害された組織だけに留まらない。
これは、ルーターにマルウェアを展開するキャンペーンがもたらす脅威と類似しており、アプライアンスの制御奪取によるデータの露出だけではなく、環境の深部へ向けた侵入経路を確立していくものである。
Cisco ルーターを侵害するハッカー
Fire Ant のルーター向けツールキットは、IOS XR のコントロール・プレーン向けに構築されている。”/etc/rc.d/init.d/grub-rommon” に配置された永続化スクリプトは、”/usr/bin/acpid” に偽装したインプラントを 1 時間おきに起動し、活動の可視性を低下させている。
このインプラントはルーターの syslog フローを改変して特定メッセージの配信を阻止する一方、別のコンポーネントは IOS XR のルーティング機能／Telnet 管理機能をアウトバウンド通信に利用する。さらに別のコンポーネントが、コマンド実行を改変して show コマンドに除外フィルタを追加し、トンネル関連の詳細を隠している。
これらの機能により、ルーターは活動の隠蔽と情報収集のための基盤として悪用されている。Fire Ant は複数のルーター・インターフェイスからパケットをキャプチャし、そのデータを外部 FTP インフラへアップロードしている。パケット・キャプチャから窃取される情報には、ネットワーク構成／接続関係／認証などのインタラクションがあるが、それに加えて、防御側が本来は別個のものとして扱っているシステム間の関係が明らかにされる可能性がある。
このレポートでは、ルーターだけでなく、監視プロセスに偽装したバックドア BridgeAgent を実行する Linux ホストについても説明されている。BridgeAgent は暗号化された設定を “/opt/.ICEauthority” に保存し、TLS 経由で外部インフラに接続している。こうして成立するホストは、GRE トンネルを介したスキャン／アクセスの中継点として機能する。
標的となる認証と証拠
Fire Ant は、ネットワーク・デバイス管理の認証と記録サービスである TACACS も標的にした。同アクターの TacTap ツールセットがサポートするのは、”tac_plus” プロセスへの悪意のあるライブラリの注入／許可されたセッションの傍受／難読化した認証情報のログへの書き込みなどであり、これにより、侵害された認証情報がどのように悪用されたかを調査するための記録が損なわれる。
Linux 管理サーバでは、攻撃者がカスタム SSH バックドア／Medusa 関連コンポーネントを追加し、通常のサービスに似た名前を使用することで、SELinux を無効化または機能の弱体化を推進する。パケット・トリガー型バックドアは、特殊なマーカーを持つネットワーク・トラフィックを受信するまで待機し、そのマーカーを受信した時点で起動する可能性があるほか、ポート・リダイレクト／IP フォワーディングにより、隠密なトンネリングも可能になっていた。
中国との関連が指摘されるルーターへの攻撃活動に共通するのは、エンドポイントの証拠と同等の精査がネットワーク・デバイスのテレメトリについても必要になることである。インシデント対応担当者はこうした点を踏まえ、ルーター／認証システム／ハイパーバイザー／ジャンプホスト／管理アプライアンスを、セキュリティ／フォレンジックにおける中核的な資産として扱う必要がある。
調査においては、1 つのデータソースだけに依存するのではなく、ログ／メモリ／ディスク／ネットワーク／認証／設定の証拠を比較する必要がある。それに加えて、未承認の GRE インターフェイス／説明のつかないルーター上での PCAP 作成／外向きの FTP または SCP／コマンド・アカウンティングの欠落／不審な “tac_plus” へのインジェクション／削除後も動作を続けているプロセスといった、侵害の兆候を緊急に調査すべきである。
.webp)
運用ネットワークへ接続している組織にとっては、外部への公開範囲とセグメンテーションの見直しも重要である。最近の重要インフラに対するレッドチームの調査結果が示しているように、脆弱なアイデンティティ制御／ネットワーク制御により、最初の足掛かりから広範なアクセスへと攻撃が発展する可能性がある。
組織に求められるのは、すべての階層にわたる潜在的に露出した管理者認証情報のローテーション／セキュリティ制御の復旧および検証／クリーンアップ前の揮発性証拠の収集／ルーターおよび Linux システム全体を対象とする、侵害指標の広範な探索である。Fire Ant は、重複する複数の永続化経路とアクセス経路を使用しているため、単一ファイルの削除だけでは不十分となる可能性が高く、影響を受けるすべての技術層を対象として、完全かつ連携した対応が必要になる。
侵害指標 (IoC)
| TypeIndicatorDescription | ||
|---|---|---|
| File and SHA-1 | /bin/atdc164bfc953c66e58b11fc280e69fd43b8f255839 | Custom SSH backdoor |
| File | /bin/gdm | Medusa-rootkit-related component |
| File and SHA-1 | /usr/sbin/cupsdd1aa6ab2006b5d9199aa87bb0bbd995aec698ac4f | Custom SSH backdoor |
| File and SHA-1 | /usr/sbin/smartddc164bfc953c66e58b11fc280e69fd43b8f255839 | Medusa rootkit binary |
| File | /opt/cybereason/sensor/bin/cybereason-agent/cybereason-agent | REPTILE-like binary renamed to resemble a security agent |
| File | /opt/sentinelone/bin/sentinel-agent/sentinel-agent | REPTILE-like binary renamed to resemble a security agent |
| Directory | /usr/lib/locate | Medusa rootkit working directory |
| File | /usr/lib/locate/.backup_ld.so | Medusa-rootkit-related file |
| File | /usr/lib/locate/.l | Medusa-rootkit-related file |
| File | /usr/lib/locate/.pd | Medusa-rootkit-related file |
| File | /usr/lib/locate/.pts | Medusa-rootkit-related file |
| File | /usr/lib/locate/boot.sh | Custom SSH backdoor and Medusa-rootkit startup script |
| File | /usr/lib/locate/libdl.so | Hijacked shared object associated with Medusa rootkit |
| File | /usr/lib/locate/local.txt | Medusa-rootkit-related file |
| Credential artifact | /var/log/remote.txt | Log associated with harvested SSH credentials |
| File and SHA-1 | /usr/sbin/acppid36005f5e4398a1c62a2a9271eddfcc1b44b1ad00 | TacTap injector targeting tac_plus |
| File and SHA-1 | /lib/libseconfd.so955cd45a2f6f226a2fdf44b329af1c8dde90cb38 | TacTap library injected into tac_plus |
| Credential artifact | /var/log/.tacplus.acct | XOR-obfuscated TACACS credential artifact |
| Unix socket | /var/run/acpid.lock | TacTap socket used to receive accepted TACACS connection file descriptors |
| File | /var/tmp/.bashrc | Actor shell-initialization file used with Bash rcfile execution |
| File and SHA-1 | /var/tmp/audit13f0c2a598e3aa63856c032a96b110aed963f0e8 | VMCI/VSOCK backdoor providing a virtualization-adjacent shell channel |
| Archive | /var/tmp/esv3X | Actor-created archive |
| Script | /var/tmp/hourglass-cn | Actor-run script |
| File and SHA-1 | /var/tmp/ping5ba1242050b5b447052b210788a5a25593d6987d | REPTILE-like binary later renamed to masquerade as a security agent |
| File and SHA-1 | /var/tmp/sync7dab017f14628345d47bd4eb69cc49224f3054a7 | TINYSHELL component |
| Packet capture | /var/tmp/tacacs.pcap | TACACS packet-capture artifact created by Fire Ant |
| Archive | /var/tmp/ttt.tar | Actor-created archive |
| Script | /var/tmp/u6.py | Actor-created Python script |
| Archive | a.zip | Actor-created archive |
| Archive | cli.tar | Actor-created archive |
| File | client | Malicious client component executed by the actor |
| Script | se.py | Actor script used for reverse connection and pivoting |
| Archive | ttt.zip.enc | Actor-created encrypted archive |
| File and SHA-1 | /usr/bin/acpidbe6b27f429324a4af05a310d8ec9635e37c68a94 | IOS XR implant |
| File and SHA-1 | /pkg/bin/dhcpd_show_issu_status1682b652a15bde732489f22809b0b7594c228fd3 | IOS XR implant with outbound communication functionality |
| File and SHA-1 | /pkg/bin/hdb149fa3a34bd585e7a674a4fd9538437bd06f514 | IOS XR implant used to manipulate command output |
| File and SHA-1 | /etc/rc.d/init.d/grub-rommon6ef7d2985edf743ebff413a9298a127e9475d72f | Masqueraded persistence startup script |
| File and SHA-256 | /usr/sbin/zabbix_agent110e6fb23be00d2ed251a445ee5b65aadf23b48b8db7419900d64539ad90c5a3 | BridgeAgent Linux backdoor masquerading as a monitoring agent |
| Service unit and SHA-256 | zabbix_agent.service251c7a2684542c29ae2c1e1282b780163bf9f844179ef0759094b2b7e2f62f0f | BridgeAgent persistence service configured to run as root |
| Magic string | sxcdewqaz!@# | Packet-triggered backdoor activation marker |
| Magic string | hpaVAj2FJ | Listener child-process kill marker |
| Magic string | ;7(Zu9YTsA7qQ#vw | Possible command, transfer, or control-session termination marker |
| Magic string | KS2ow2232ssww2342234323 | Command-line marker observed with the ntfsfixed secondary binary |
注: IP アドレス／ドメインは、意図しない名前解決／ハイパーリンク化を防ぐため、意図的に安全な形式へ変更されている (例: [.])。再有効化する場合は、MISP／VirusTotal／SIEM など、管理された脅威インテリジェンス・プラットフォーム内だけで行う必要がある。
Cisco IOS XR ルーターをはじめとするインフラ機器が攻撃者の拠点として悪用される事例が深刻化しています。この問題の背景には、ネットワーク通信や認証の中核を担う重要機器が監視の目から漏れやすい点があります。攻撃による影響として、非正規の GRE トンネル作成／通信トラフィックの隠蔽と外部送信／コマンド実行結果やログの改ざん／認証情報の盗難／他システムへの攻撃の中継が挙げられます。対応策として、ネットワークおよび管理ホスト全体の包括的な調査／異常なプロセスの監視／ログやメモリなどの多角的な証拠比較／認証情報の即座の変更／公開範囲とセグメンテーションの再評価が求められます。
IoT OT Security News 
You must be logged in to post a comment.