L'indagine è cominciata da un'anomalia che sembrava un errore di configurazione: su un router Cisco IOS XR c'era un'interfaccia tunnel GRE attiva che non trovava riscontro né nella configurazione in esecuzione né nella cronologia dei commit. Nessuno l'aveva creata, eppure funzionava.

Da lì la società di incident response Sygnia ha ricostruito una nuova fase dell'attività di Fire Ant, gruppo di spionaggio collegato alla Cina che finora era noto soprattutto per il targeting degli hypervisor VMware. Il perimetro si è spostato: router Cisco IOS XR, server di autenticazione TACACS e host Linux di gestione. Cioè i sistemi che instradano, autenticano e amministrano le reti di alto valore.

Il router smette di essere un apparato di transito

Il malware sviluppato per i router è costruito su misura per il control plane di IOS XR, non è un impianto generico riadattato. Sygnia ne descrive due comportamenti che meritano attenzione.

Il primo è una libreria di sistema modificata che intercetta ogni messaggio di log in uscita e lo inoltra solo se contiene la stringa Health. Non è una cancellazione dei log — che sarebbe rumorosa — ma un filtro selettivo: al SIEM continuano ad arrivare messaggi, di aspetto normale, mentre tutto ciò che riguarda il tunnel scompare.

Il secondo altera il percorso di esecuzione dei comandi del router, aggiungendo un filtro | exclude ai comandi show. Un amministratore che si collega all'apparato e ne ispeziona la configurazione vede una configurazione pulita. Il tunnel dell'attaccante è lì, ma l'apparato è stato istruito a non mostrarlo.

La persistenza è ottenuta con un finto servizio di sistema che esegue l'impianto solo a ore alterne, un accorgimento che riduce la finestra utile a chi cerca il processo in esecuzione. Le connessioni verso l'infrastruttura del gruppo avvengono in Telnet in uscita, e la shell interattiva non produce alcun log.

Con l'accesso amministrativo ottenuto, gli attaccanti hanno catturato traffico da più router e caricato i file PCAP su server FTP esterni. Come sintetizza Sygnia, questo cambia il ruolo del dispositivo: da apparato di transito a piattaforma di raccolta. I contenuti esposti in quelle catture — topologia interna, connessioni amministrative, flussi di autenticazione, relazioni di routing — valgono più di quasi qualsiasi endpoint compromesso.

TacTap, BridgeAgent e il "bersaglio dietro il bersaglio"

Sygnia ha documentato due strumenti finora sconosciuti.

TacTap è un toolset per la raccolta di credenziali dai server TACACS, il protocollo usato per l'autenticazione centralizzata degli apparati di rete. Combina injection di librerie, intercettazione delle sessioni accettate e passaggio di file descriptor via socket Unix. Un server TACACS compromesso significa, in pratica, accesso alle credenziali usate per amministrare l'intero parco di rete.

BridgeAgent è una backdoor mascherata da agente di monitoraggio Zabbix: persiste come servizio systemd con privilegi di root tramite un'unità zabbix_agent.service, supporta reverse shell in TLS ed esecuzione di payload aggiuntivi. Il camuffamento non è casuale — un agente Zabbix su un host di gestione è esattamente il tipo di processo che nessuno mette in discussione.

Il tunnel GRE nascosto collegava un router compromesso a un vecchio server Linux, usato come base per la ricognizione. Da lì gli attaccanti hanno sondato sistemi in ambienti connessi ad alto valore, incluse infrastrutture critiche, sulle porte tipiche di SSH, servizi web, SMB/RPC e RDP. Sygnia definisce questa strategia "target behind the target": compromettere l'infrastruttura fidata di una prima vittima e usarla come ponte verso le reti a cui quella vittima è legittimamente connessa.

L'attività presenta forti sovrapposizioni con UNC3886, il cluster di spionaggio cinese documentato da Google/Mandiant, ma Sygnia mantiene la distinzione: nomi di file, percorsi e dettagli implementativi differiscono.

Cosa significa per le aziende italiane

Il punto scomodo di questa campagna è che colpisce esattamente i sistemi che l'industria della sicurezza ha trascurato per quindici anni.

Router e apparati di rete sono il punto cieco strutturale della difesa italiana. Praticamente nessuna organizzazione ha un EDR su un router, e non potrebbe averlo. La visibilità su quegli apparati si basa interamente sui log che l'apparato stesso decide di mandare e sull'output dei comandi che l'apparato stesso decide di mostrare. Fire Ant ha attaccato precisamente questa fiducia. Chi ha costruito il monitoraggio sull'assunto che "se il router non segnala niente, va tutto bene" ha un modello di minaccia da rivedere.

La catena di fornitura di connettività è un vettore reale. Il paradigma "target behind the target" ha una traduzione italiana molto concreta: un fornitore di servizi gestiti, un system integrator, un operatore regionale o un data center che ha connessioni fidate verso clienti nella sanità, nell'energia, nella pubblica amministrazione o nella finanza è un bersaglio proprio in virtù di quelle connessioni, non per i propri dati. È lo stesso ragionamento che ha portato la NIS2 a estendere il perimetro ai fornitori: qui se ne vede la giustificazione operativa. Per un'organizzazione soggetta a NIS2, la valutazione del rischio della catena di fornitura non può fermarsi ai questionari — deve chiedersi chi ha accesso amministrativo alla propria rete e con quali apparati.

Il TACACS è un single point of failure che quasi nessuno tratta come tale. Un server TACACS o RADIUS compromesso consegna le credenziali di amministrazione di tutti gli apparati che serve. Nella maggior parte delle reti italiane quel server sta in un segmento di gestione poco monitorato, spesso su un sistema operativo datato, e viene toccato solo quando smette di funzionare.

Va aggiunta un'avvertenza metodologica che Sygnia sottolinea con forza: il gruppo manomette sistematicamente log e record, modificando anche i timestamp dei file per confondere gli investigatori. I log recuperati da un'infrastruttura compromessa non vanno considerati prova affidabile in sé: devono essere validati contro fonti indipendenti.

Cosa fare subito

  • Esportare e conservare i log di rete fuori dagli apparati, verso un collector che l'apparato non può modificare. È la contromisura diretta al filtraggio selettivo del syslog.
  • Confrontare la configurazione in esecuzione con una baseline esterna invece di fidarsi dell'output dei comandi show. Un tunnel invisibile all'apparato resta visibile in un dump di configurazione raccolto da un sistema di gestione indipendente e nei flussi di rete.
  • Cercare tunnel GRE non giustificati dalla cronologia dei commit e connessioni Telnet in uscita dagli apparati di rete verso Internet: nessuna delle due dovrebbe esistere in una rete gestita correttamente.
  • Isolare e monitorare i server TACACS/RADIUS: segmento dedicato, accesso amministrativo con MFA, alert su modifiche alle librerie e sui caricamenti anomali di processo.
  • Verificare i servizi systemd sugli host di gestione Linux, in particolare le unità che si spacciano per agenti di monitoraggio. Confrontare percorsi e hash dei binari con quelli forniti dal pacchetto ufficiale.
  • Monitorare i trasferimenti in uscita verso FTP dai segmenti di gestione: l'esfiltrazione dei PCAP è passata da lì.
  • Applicare le regole YARA e gli IoC pubblicati da Sygnia nel report, che include anche indicazioni di threat hunting.
  • In caso di sospetto, non basare l'analisi sui log dell'apparato compromesso: raccogliere evidenze da netflow, firewall perimetrale e sistemi terzi, e verificare i timestamp in modo incrociato.