Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Fire Ant, gruppo hacker collegato secondo Sygnia alle attività di spionaggio attribuite a UNC3886, ha ampliato i propri attacchi dai sistemi VMware ai router Cisco IOS XR, ai server TACACS e agli host Linux. Malware personalizzati nascondono tunnel e attività sospette, rubano credenziali e intercettano il traffico di rete per raggiungere obiettivi più importanti.
Gli esperti di Sygnia hanno pubblicato un report sulla nuova attività del gruppo hacker cinese Fire Ant. In precedenza, questa organizzazione aveva attaccato gli hypervisor VMware, ma ora ha spostato la sua attenzione su altri componenti dell’infrastruttura: router Cisco IOS XR, server di autenticazione TACACS e host Linux di gestione.
L’indagine è iniziata quando gli esperti hanno rilevato su un router Cisco IOS XR un tunnel GRE attivo, assente nella configurazione corrente e nella cronologia delle modifiche. Tuttavia, non è chiaro come gli attaccanti abbiano ottenuto inizialmente l’accesso al router.
È emerso che Fire Ant ha installato sul dispositivo un malware personalizzato, sviluppato appositamente per IOS XR. Uno dei componenti di questo malware filtrava i log di sistema, nascondendo l’attività relativa al tunnel GRE, mentre un altro interferiva con l’esecuzione dei comandi e aggiungeva automaticamente un filtro exclude, in modo che gli amministratori non scoprissero la configurazione dannosa durante le normali verifiche.
I router compromessi sono stati utilizzati per intercettare il traffico. Gli investigatori scrivono che gli hacker criminali hanno catturato dump del traffico di rete in formato PCAP da diversi dispositivi Cisco e li hanno trasmessi a server FTP esterni. Questi dump potevano contenere informazioni sulla topologia della rete, sulle connessioni amministrative, sull’autenticazione e sul traffico tra segmenti collegati.
“Quando l’attaccante controlla i router, ottiene non solo una maggiore copertura, ma anche la possibilità di vedere cosa accade nella rete”, osservano gli esperti di Sygnia.
Il tunnel GRE ha portato gli investigatori a un server Linux, utilizzato dagli attaccanti come punto intermedio per condurre ricognizioni. Da esso, i membri di Fire Ant hanno scansionato le reti e tentato di connettersi ai servizi SSH, HTTP, SMB, RDP e ad altri.
Si nota che tra gli obiettivi degli hacker c’era anche l’infrastruttura critica, ma gli investigatori non hanno trovato prove della sua compromissione: l’attività degli attaccanti si limitava alla scansione e ai tentativi di connessione. Questo schema in Sygnia viene definito «target behind the target», poiché la vittima iniziale diventa un «ponte» per attaccare sistemi più preziosi.
Gli hacker non si sono limitati a consolidarsi solo sui router compromessi: hanno anche violato i server TACACS, utilizzati per l’autenticazione centralizzata e il controllo dell’accesso amministrativo all’hardware di rete. Ad esempio, su uno di questi server, gli investigatori hanno scoperto un set di strumenti TacTap, progettato per rubare le credenziali.
L’utilità acppid iniettava una libreria dannosa nel processo tac_plus in esecuzione, intercettava nuove connessioni e trasmetteva dati sulle sessioni attive a un processo separato. Le informazioni rubate venivano salvate in /var/log/.tacplus.acct e mascherate con un semplice XOR con chiave 0xEF. Secondo gli esperti, questo metodo di iniezione in tac_plus è stato documentato per la prima volta.
Un’altra scoperta degli investigatori è stato il backdoor Linux BridgeAgent, mascherato da agente di monitoraggio Zabbix. Si consolidava nel sistema come servizio systemd avviato con privilegi root, mascherava il suo processo come /usr/bin/gnome-shell e si collegava all’infrastruttura degli attaccanti tramite TLS sul porto 443. Il backdoor supportava l’esecuzione di comandi, il caricamento di payload aggiuntivi e la creazione di reverse shell.
Sugli host Linux di gestione compromessi, gli attaccanti hanno implementato un set di strumenti per l’accesso prolungato all’infrastruttura delle vittime. Includeva rootkit Medusa e REPTILE, backdoor SSH personalizzati e altri componenti dannosi.
In Sygnia ritengono che l’attività di Fire Ant possa essere collegata alle operazioni del gruppo di spionaggio cinese UNC3886, noto in precedenza per attacchi a VMware e hardware di rete.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/