סיגניה: קבוצת תקיפה סינית הפכה נתבי Cisco לפלטפורמות ריגול
מחקר חדש של חברת הסייבר הישראלית חושף פעילות מתמשכת של Fire Ant: לאחר השגת הרשאות גבוהות לנתבים ולתשתיות אימות, התוקפים השתמשו בהן לאיסוף תעבורה ופרטי הזדהות, ליצירת גישה לסביבות נוספות ולהסתרת עקבותיהם
אסף פרלמן, ממובילי המחקר. צילום: סיגניה
קבוצת תקיפה בעלת זיקה לסין מצאה דרך להפוך את אחת השכבות הקריטיות ביותר בתשתית הארגונית לנקודת תצפית על מערכות נוספות. כך עולה ממחקר חדש של חברת הסייבר הישראלית סיגניה (Sygnia), שחקרה פעילות מתמשכת של קבוצת Fire Ant במהלך 2026.
הקבוצה השיגה גישה בהרשאות גבוהות לסביבות הכוללות נתבים המריצים Cisco IOS XR, שרתי TACACS ומארחי ניהול מבוססי Linux. במקום להסתפק בפגיעה במערכות עצמן, התוקפים השתמשו בתשתיות הללו כדי ליצור קישוריות סמויה, לאסוף תעבורה ופרטי הזדהות, לשמר גישה ולבחון נתיבי כניסה לסביבות מקושרות בעלות ערך גבוה.
בסיגניה מדגישים כי החקירה לא העלתה ניצול של חולשה במוצרי Cisco, CVE מסוים או שיטת תקיפה מרוחקת נגד IOS XR. הממצאים מתייחסים לשלב שלאחר החדירה, לאחר שהתוקף כבר השיג הרשאות גבוהות בסביבה שנפגעה.
המטרה שמאחורי המטרה
המשמעות היא שהמערכות שנפגעו לא היו בהכרח היעד הסופי. דווקא השליטה בתשתיות שאחראיות על ניתוב, אימות וניהול סיפקה לתוקפים נקודת תצפית שממנה יכלו לבחון מה נמצא מעבר להן.
״המערכות שארגונים נותנים בהן את האמון הרב ביותר הן לעיתים דווקא אלה שזוכות לפחות ניטור ואבטחה. Fire Ant לא הסתפקה בפגיעה במערכות בודדות, אלא התבססה בשכבת התשתית שעליה מערכות אחרות נשענות לצורך תקשורת וניהול״, אומר אסף פרלמן, מנהל תחום התגובה לאירועי סייבר בסיגניה באסיה וממובילי המחקר.
לדבריו, השליטה בנתבים, בשרתי TACACS ובמארחי ניהול מבוססי Linux סיפקה לתוקפים נקודת תצפית שממנה יכלו לאסוף תעבורה ופרטי הזדהות, לשמר גישה ולבחון נתיבים לסביבות מקושרות. במקביל, הם פעלו כדי לשבש את מקורות הראיות שעליהם מסתמכים צוותי ההגנה. ״המשמעות היא שהסיכון לא נשאר בתוך המערכות שנפגעו ישירות, אלא התרחב לתשתית שיכולה לאפשר גישה גם לסביבות נוספות״.
הפעילות מסמנת גם התפתחות ביחס לפעילות שזוהתה אצל Fire Ant ב-2025. אז התמקדה הקבוצה בהתבססות עמוקה בתשתיות וירטואליזציה, בהן VMware ESXi ו-vCenter. במהלך 2026 התרחבה הפעילות לשכבות הניתוב, האימות והניהול שעליהן נשענות מערכות נוספות.
כלים חדשים ואחיזה מתמשכת
החקירה חשפה שני כלים שלא היו מוכרים קודם לכן. הראשון, BridgeAgent, הוא implant ל-Linux שהוסווה כרכיב בשם zabbix_agent. השני, TacTap, הוא ערכת כלים שנועדה לאסוף פרטי הזדהות מ-TACACS באמצעות הזרקת ספריות ויירוט הפעלות מאומתות.
Fire Ant גם בנתה מנגנוני גישה שנועדו להישאר לאורך זמן. אלה כללו רכיבים הקשורים ל-Medusa rootkit, דלתות אחוריות מותאמות ל-SSH ודלתות אחוריות שהופעלו באמצעות תעבורת רשת ייעודית.
במקביל, הקבוצה פעלה לטשטוש הפעילות שלה. בין היתר, היא הסתירה רישומי מערכת ושינויי תצורה, דיכאה בקשות AAA והתראות SNMP וסיננה פלט של פקודות. במערכות Linux נמחקו קבצים לאחר הפעלתם, תהליכים המשיכו לפעול מנתיבים שנמחקו, SELinux נוטרל, רישומי מערכת שונו וחוקי חומת האש עודכנו.
התמונה שעולה מהמחקר היא של תקיפה שלא נעצרת בנקודת החדירה הראשונית. השליטה בנתבים, בשרתי האימות ובמארחי הניהול העניקה ל-Fire Ant שכבת גישה רחבה יותר - כזו שסיפקה לה נראות, אחיזה מתמשכת ואפשרות לבחון דרכי גישה מעבר למערכות שנפגעו ישירות.
לדברי סיגניה, זהו בדיוק האתגר שמציבה תקיפה של תשתיות מהימנות: כאשר התוקף משתלט על המערכות שעליהן ארגון מסתמך כדי לנהל את הרשת ולוודא מי רשאי לגשת אליה, הוא לא רק משיג דריסת רגל - הוא מקבל נקודת תצפית על הסביבה כולה.