Cisco se convierte en una torre de espionaje
El grupo de ciberespionaje Fire Ant, vinculado a China, ha ampliado sus objetivos: ahora ataca no solo plataformas de virtualización, sino también routers Cisco, sistemas de autenticación y equipos Linux de gestión. Así lo han comunicado investigadores de Sygnia, que detectaron ataques contra routers Cisco con IOS XR.
Para los atacantes, un router comprometido no es solo una cómoda puerta de entrada a la red. Fire Ant convierte los equipos de red en una plataforma operativa en toda regla. Desde ellos, el grupo puede recopilar tráfico, establecer conexiones con otros sistemas, alterar la salida de comandos y suprimir los registros de eventos. Esta última función resulta especialmente útil para los espías: los defensores ven menos rastros y pueden tardar más en advertir la presencia de los atacantes.
Los servidores TACACS tienen un interés especial. Son sistemas de autenticación centralizada que los administradores utilizan para acceder a los equipos de red. Si los atacantes toman el control de uno de estos servidores, pueden robar credenciales y, al mismo tiempo, reducir la fiabilidad de los registros de auditoría, que suelen permitir a los especialistas reconstruir las acciones de usuarios y administradores.
Otro objetivo de los ataques son los hosts Linux destinados a gestionar la infraestructura. Sygnia encontró en ellos varios implantes persistentes y puertas traseras. Entre ellos hay una puerta trasera para SSH, el protocolo de administración remota, creada específicamente para este fin, además de un programa malicioso que se hace pasar por software legítimo.
Según los investigadores, el objetivo de la campaña no es solo hacerse con una organización concreta. Fire Ant busca afianzarse dentro de la infraestructura y aprovechar sus conexiones de confianza para acceder a otros entornos. Sygnia lo describe como un escenario de «objetivo tras objetivo»: una empresa pirateada puede interesar como víctima por sí misma, pero vale aún más como puesto de vigilancia y vía de entrada a redes relacionadas.
Por ahora se sabe poco de Fire Ant. El grupo fue detectado por primera vez en 2025. Algunos especialistas encuentran similitudes importantes entre Fire Ant y el grupo UNC3886, que Google vinculó anteriormente al ciberespionaje chino. Sin embargo, también hay diferencias suficientes, así que los investigadores aún no se atreven a atribuir definitivamente Fire Ant a UNC3886.
PEREC.RU
Fire Ant es un grupo de ciberespionaje poco conocido, detectado por primera vez en 2025 y presuntamente vinculado a China. Según Sygnia, el grupo ha ampliado su campaña más allá de las plataformas de virtualización y ha empezado a atacar routers Cisco con IOS XR, servidores de autenticación TACACS y hosts Linux de gestión.
La principal particularidad de estos ataques es que los routers comprometidos no se utilizan solo como puntos intermedios para desplazarse por la red. Fire Ant los convierte en plataformas operativas capaces de recopilar tráfico, establecer conexiones, alterar la salida de comandos y suprimir los registros. Esto permite al grupo vigilar la red y ocultar su actividad a los defensores.
Los servidores TACACS interesan porque los administradores los utilizan para autenticarse al acceder a los equipos de red. Su compromiso puede facilitar el robo de credenciales y reducir la fiabilidad de los registros de auditoría, lo que dificulta investigar las acciones de los atacantes.
En los hosts Linux de gestión, Sygnia encontró implantes persistentes y puertas traseras, incluida una puerta trasera SSH diseñada específicamente y un programa malicioso que imita software legítimo. Estas herramientas permiten conservar el acceso a la infraestructura tras la intrusión inicial.
Los investigadores creen que Fire Ant persigue un objetivo estratégico: afianzarse en una organización y aprovechar sus conexiones de confianza para infiltrarse en otros entornos. Por eso, la empresa comprometida puede no ser la víctima final, sino un punto intermedio desde el que acceder a socios, redes relacionadas y más datos. Sygnia describe este método como un escenario de «objetivo tras objetivo».
Algunos investigadores encuentran similitudes entre Fire Ant y el grupo UNC3886, que Google había vinculado anteriormente al ciberespionaje chino. Sin embargo, existen diferencias importantes y todavía no se ha confirmado que sean el mismo grupo. Para las organizaciones rusas, esta historia sirve de recordatorio: hay que proteger no solo las estaciones de trabajo y los servidores, sino también los equipos de red, los sistemas de autenticación, los registros de eventos y los hosts Linux de gestión. Estos componentes suelen tener amplios permisos y gozar de gran confianza dentro de la infraestructura.
