Согласно отчёту, группа также фиксировала трафик, проходящий через устройства, и использовала их для зондирования других дорогостоящих сетей.
По словам Sygnia, хакеры взломали системы, которые проверяют, разрешено ли сетевым администраторам входить в систему на маршрутизаторах и другом оборудовании, что позволяет им получать учётные данные администратора.
Sygnia отслеживает деятельность группировки Fire Ant и считает, что она связана с Китаем. Компания публично не связывала хакеров с каким-либо конкретным государственным учреждением Китая.
Sygnia не раскрывает информацию о пострадавших организациях или странах, и ни одна жертва из США не была публично названа.
2 сентября компания Cisco отдельно выпустила критическое обновление для повышения безопасности IOS XR — операционной системы маршрутизатора, которая фигурировала в расследовании Sygnia. В Cisco заявили, что обновление устраняет семь групп уязвимостей, обнаруженных в ходе внутреннего тестирования и не использовавшихся в атаках.
В рекомендациях Cisco не упоминается Fire Ant или расследование Sygnia, а Sygnia не выявила уязвимость Cisco, которая использовалась в атаках.
Хакеры скрывали свою активность на маршрутизаторах
Компания Sygnia начала расследование после того, как исследователи обнаружили скрытый сетевой туннель, работающий через маршрутизатор Cisco, но отсутствующий в обычных записях конфигурации устройства. Позже исследователи обнаружили вредоносное ПО, разработанное специально для IOS XR.
Маршрутизаторы перенаправляют данные между сетями. Злоумышленник, получив контроль над одним из них, может отслеживать проходящий через него трафик или использовать устройство в качестве пути к другим системам.
По словам Sygnia, Fire Ant скрывали свою активность, подавляя некоторые журналы маршрутизаторов и изменяя информацию, которую получали администраторы при проверке оборудования, из-за чего у них складывалась неполная картина того, что происходило на устройстве.
Fire Ant также записывали сетевой трафик с нескольких маршрутизаторов Cisco и отправлял файлы на внешние серверы. Часть этих данных была собрана через легитимную учётную запись администратора.
Исследователи обнаружили одно скрытое подключение к другому взломанному компьютеру. Оттуда Fire Ant проверяли подключения к другим важным системам, в том числе к системам, связанным с критически важной инфраструктурой.
Sygnia зафиксировала попытки сканирования и подключения, но не сообщила, что эти нижестоящие системы были успешно взломаны.
По словам представителей компании, этот подход предполагает «атаку на цель за целью» — сначала захват под контроль доверенного сетевого оборудования, а затем поиск путей проникновения в другие организации.
Целенаправленная атака на логины администраторов
Fire Ant также взломали системы, которые проверяют, имеют ли сетевые администраторы право входить в систему маршрутизаторов и другого оборудования. Эти системы проверки входа используют протокол TACACS.
Sygnia обнаружила вредоносное ПО, встроенное в процесс проверки входа, которое могло перехватывать учётные данные администраторов при их входе в систему.
Компания назвала этот инструмент TacTap и заявила, что не знала о том, что этот метод был публично описан ранее.
По данным Sygnia, методы Fire Ant во многом совпадают с методами UNC3886, ещё одной связанной с Китаем группы кибершпионов, которую ранее расследовала компания Mandiant, принадлежащая Google. Однако компания не стала утверждать, что это одна и та же группа.
По данным правительств США и их союзников, аналогичные методы использовались и в других хакерских кампаниях, спонсируемых китайским государством. Эти кампании не связаны с Fire Ant.
В совместном предупреждении киберподразделений США и их союзников от 2025 года говорится, что хакеры, спонсируемые китайским государством, нацелены на крупные телекоммуникационные маршрутизаторы и другие устройства на периферии сетей.
В предупреждении описываются скрытые туннели, сбор трафика, попытки получить учётные данные администраторов и использование скомпрометированных маршрутизаторов для доступа к другим сетям. По данным агентств, большая часть наблюдаемого ими сбора трафика осуществлялась с помощью устройств Cisco IOS.
В рекомендациях не упоминается Fire Ant.
Многолетний опыт работы Cisco в Китае
Помимо расследования в отношении Fire Ant, компания Cisco уже несколько десятилетий работает в Китае, предоставляя сетевое оборудование, осуществляя техническое сотрудничество и реализуя масштабную программу обучения.
В 2008 году Комиссия по обзору экономики и безопасности США и Китая написала, что маршрутизаторы и коммутаторы Cisco стали «краеугольным камнем» проекта Golden Shield Министерства общественной безопасности, который используется для создания полицейских сетей, интернет-мониторинга, цензуры и наблюдения.
Во внутренней презентации Cisco за 2002 год «Золотой щит» рассматривался как возможность для бизнеса, а среди направлений, в которых могла участвовать Cisco, назывались планирование, строительство, техническая подготовка и эксплуатационное обслуживание.
В презентации говорилось о стремлении китайских властей использовать систему против Фалуньгун и других групп, которые они считали угрозой для власти коммунистической партии.
Cisco также разработала обширную программу сетевого обучения в Китае.
В сентябре 1998 года компания открыла свою первую Сетевую академию в материковом Китае на базе Фуданьского университета, а позже распространила программу на университеты по всей стране.
В 2003 году Cisco подала в суд на Huawei, обвинив китайскую телекоммуникационную компанию в копировании сетевого программного обеспечения, технической документации и других объектов интеллектуальной собственности Cisco.
К апрелю 2004 года, по данным Cisco, в Китае было 198 академий, в которых обучались 17 370 студентов и 20 520 выпускников.
В том же году Cisco подписала соглашение на сумму $37,7 млн с Министерством образования Китая, которое предусматривало проведение сетевых курсов, профессиональную сертификацию и обучение инструкторов в 35 национальных колледжах по разработке программного обеспечения.
В октябре 2004 года Cisco и Пекинский университет почты и телекоммуникаций создали учебный центр по сетевой безопасности, который, по словам представителей Cisco, будет готовить специалистов по телекоммуникационной безопасности высокого уровня и проводить практические занятия для студентов, магистрантов и докторантов.
По данным Cisco, к 2009 году более 100 тыс. студентов в Китае прошли обучение в более чем 250 сетевых академиях.
В 2025 году калифорнийская компания SentinelOne, специализирующаяся на кибербезопасности, сообщила, что два человека, связанные с компаниями, упомянутыми в рекомендациях Salt Typhoon, фигурировали в документах китайских университетов как участники конкурса Cisco Networking Academy 2012 года.
По данным SentinelOne, корпоративные, патентные, образовательные и кадровые документы с высокой долей вероятности указывают на то, что конкуренты — это те же люди, которые позже были связаны с компаниями, упомянутыми в отчёте Salt Typhoon.
Эти записи не указывают на связь этих лиц с Fire Ant и не доказывают, что обучение в Cisco было связано с их последующей кибердеятельностью.
Первоначальный доступ остаётся неизвестным
Sygnia не раскрывает информацию о том, как Fire Ant впервые получила привилегированный доступ, необходимый для взлома маршрутизаторов Cisco.
В отчёте не указана уязвимость Cisco, которая использовалась при атаке. Агентство по кибербезопасности и защите инфраструктуры отказалось комментировать отчёт Sygnia.
Sygnia, Cisco и Mandiant, принадлежащая Google, не ответили на запросы о комментарии к моменту публикации.
__________
Чтобы оперативно и удобно получать все наши публикации, подпишитесь на канал Epoch Times Russia в Telegram
