Siber güvenlik firması Sygnia’nın yayımladığı yeni bir araştırma, Çin bağlantılı tehdit aktörü Fire Ant’in casusluk operasyonlarını VMware sanallaştırma ortamlarından Cisco ağ yönlendiricilerine taşıdığını ortaya koydu. Grup, kimlik bilgilerini çalmak, trafiği ele geçirmek ve yüksek değerli kurumsal ağlarda kalıcı bir dayanak noktası kurmak amacıyla temel ağ altyapısını hedef alıyor.

VMware’den Cisco Yönlendiricilerine Evrilen Tehdit

Fire Ant, 2025 yılında VMware ESXi ve vCenter ortamlarını istismar ederek gündeme gelmiş bir Çin bağlantılı casusluk grubuydu. Sygnia’nın yeni raporuna göre grup artık faaliyet alanını genişletti ve Cisco IOS XR yönlendiricilerini, TACACS kimlik doğrulama sunucularını ve ağ yönetiminde kullanılan Linux ana makinelerini doğrudan hedef alıyor. Bu sistemler, kuruluşların çoğu zaman eski teknoloji olarak göz ardı ettiği, ancak ağ yönlendirme ve erişim kontrolünün omurgasını oluşturan kritik bileşenler arasında yer alıyor. Saldırganlar, ele geçirdikleri yönetici erişimini kullanarak birden fazla yönlendiriciden ağ trafiğini kaydediyor ve elde ettikleri paket kayıtlarını kurum dışındaki FTP sunucularına aktarıyor.

Saldırının İzleri Nasıl Bulundu?

Soruşturma, Sygnia araştırmacılarının bir Cisco IOS XR yönlendiricisinde aktif bir GRE (Generic Routing Encapsulation) tünel arayüzü tespit etmesiyle başladı. Bu arayüz ne cihazın çalışan yapılandırmasıyla ne de kayıt geçmişiyle açıklanabiliyordu; bu durum, yönlendiricinin işlemsel durumunun dışarıdan manipüle edildiğine işaret ediyordu. Araştırmacılar ayrıca Fire Ant’in TACACS kimlik doğrulama servisinin çalışan sürecine kötü amaçlı bir kütüphane enjekte ettiğini, ardından canlı oturumları dinleyerek içinden geçen kimlik bilgilerini sessizce kopyaladığını belirledi. Grup, izlerini gizlemek için sistem kayıtlarını da değiştirdi.

UNC3886 Bağlantısı ve Sygnia’nın Önerileri

Sygnia, tespit ettiği faaliyetin, sanallaştırma platformlarını ve ağ kenar cihazlarını hedef alan Çin bağlantılı casusluk grubu UNC3886 hakkındaki kamuya açık raporlarla önemli ölçüde örtüştüğünü belirtti; ancak kesin bir atıfta bulunmadığını da vurguladı. Şirket, güvenlik ekiplerine ağ yönetim altyapısına ayrıcalıklı erişimi kısıtlamalarını, beklenmedik tünel arayüzlerini izlemelerini ve kimlik doğrulama telemetrisini, kanıtların kolayca değiştirilememesi için yönetilen cihazların dışında merkezi olarak toplamalarını tavsiye etti. Cisco’dan konuya ilişkin yapılan açıklama talebine kısa sürede yanıt alınamadı. Analistler, bulguların ulus devletlerin kritik sektörlerde sistematik biçimde kalıcı erişim noktaları elde etmiş olabileceğine dair daha geniş bir uyarı niteliği taşıdığını belirtiyor.