if ( !emtpy($headline_subheadline ) ) : ?>
La compromission des serveurs TACACS par Fire Ant et la manipulation de la télémétrie des routeurs montrent comment le contrôle des systèmes de réseau central peut laisser aux défenseurs des preuves incomplètes tout en exposant les chemins vers les réseaux connectés sensibles.
endif; ?>
Un groupe de cyberespionnage lié à la Chine s’est étendu au-delà des environnements VMware pour cibler les infrastructures de réseau et d’authentification sur lesquelles les entreprises s’appuient pour gérer l’accès et administrer les systèmes critiques, selon de nouvelles découvertes de la société de réponse aux incidents Sygnia.
L’acteur malveillant, suivi par Sygnia sous le nom de Fire Ant, a ciblé les routeurs Cisco IOS XR en 2026, les utilisant pour collecter le trafic réseau tout en supprimant les preuves de son activité. Les attaquants ont également compromis l’infrastructure d’authentification TACACS et les hôtes de gestion Linux alors qu’ils exploraient l’accès à des environnements connectés à haute valeur ajoutée.
Les résultats s’appuient sur une étude Sygnia publiée l’année dernière qui a documenté Fire Ant établissant une persistance profonde dans les environnements VMware ESXi et vCenter. La dernière activité montre que le groupe étend cette approche à l’infrastructure utilisée pour acheminer le trafic et administrer les réseaux d’entreprise.
Sygnia a découvert des tentatives visant à supprimer la journalisation et à dissimuler l’activité de configuration sur les équipements réseau concernés, tandis que les preuves ont également été falsifiées sur les systèmes Linux compromis.
L’entreprise a décrit l’opération comme créant un scénario potentiel de « cible derrière la cible », dans lequel l’accès à l’infrastructure de confiance d’une organisation pourrait ouvrir la voie à d’autres environnements à haute valeur ajoutée. Sygnia a déclaré que Fire Ant avait sondé les systèmes associés aux infrastructures critiques, bien que le rapport n’établisse pas que les systèmes d’infrastructures critiques sondés ont été compromis avec succès.
Sygnia estime que l’activité de Fire Ant recoupe fortement les opérations rapportées publiquement attribuées à UNC3886, un cluster d’espionnage lié à la Chine suivi par Mandiant, mais n’a pas traité les deux comme définitivement identiques. Mandiant a déjà documenté l’UNC3886 ciblant les équipements réseau et l’infrastructure TACACS tout en tentant d’échapper à la surveillance conventionnelle.
Quand la télémétrie devient la cible
La campagne Fire Ant soulève une question difficile pour les défenseurs : peuvent-ils faire confiance aux systèmes produisant les preuves utilisées pour enquêter sur une attaque.
« Si le système générant les preuves a lui-même été compromis, l’absence d’alerte ou d’entrée dans le journal ne peut plus être considérée comme une preuve qu’une action n’a pas eu lieu », a déclaré Sakshi Grover, directeur de recherche senior pour IDC Asia Pacific Cybersecurity Services.
La suppression des requêtes AAA, des interruptions SNMP et des sorties de commandes pourrait laisser des lacunes concernant l’activité de l’administrateur, les modifications de configuration et l’utilisation des informations d’identification.
Grover a déclaré que les entreprises devraient éviter de s’appuyer sur un seul appareil ou un seul plan de gestion comme source de preuve faisant autorité. La télémétrie critique doit être exportée vers des systèmes administrés séparément et vérifiée par rapport à des sources indépendantes telles que les plates-formes d’identité et les données de flux réseau.
Une perte inexpliquée de télémétrie ou un désaccord entre différentes sources de preuves peut en soi devenir un signal de détection utile.
Les infrastructures sous le feu des projecteurs en matière de sécurité
Fire Ant confirme également que les groupes d’espionnage sophistiqués regardent au-delà des points de terminaison conventionnels vers des systèmes occupant des positions privilégiées au sein des réseaux d’entreprise.
Grover a prévenu qu’une seule campagne n’entraîne pas un changement à l’échelle de l’industrie, mais a déclaré qu’elle correspond à un modèle plus large parmi des acteurs sophistiqués liés à la Chine visant à cibler des infrastructures hautement privilégiées qui peuvent faire l’objet d’une surveillance moins cohérente.
Akshat Tyagi, responsable associé chez HFS Research, a déclaré que l’infrastructure réseau reste un angle mort car les équipes de sécurité surveillent traditionnellement les points finaux et les serveurs de plus près que les systèmes qui les connectent et les administrent.
Le contrôle de l’infrastructure réseau peut donner aux attaquants une visibilité sur le trafic et les itinéraires potentiels vers les systèmes connectés via des liens fiables.
Ce que les RSSI devraient changer
Pour les RSSI, la campagne est une raison supplémentaire d’appliquer le même niveau de surveillance de la sécurité aux infrastructures de réseau et d’authentification qu’aux points finaux et aux serveurs.
Grover a déclaré que les TACACS et les systèmes d’authentification similaires devraient être traités comme des actifs de niveau 0, car les compromettre peut exposer des informations d’identification privilégiées tout en affaiblissant les pistes d’audit administratives.
Neil Shah, vice-président de la recherche chez Counterpoint Research, a déclaré que les mêmes principes Zero Trust appliqués ailleurs dans l’entreprise devraient s’étendre à cette infrastructure de niveau 0, les organisations vérifiant en permanence son intégrité plutôt que de supposer que les systèmes fiables restent dignes de confiance.
« Le Zero Trust doit désormais s’étendre du logiciel au matériel », a déclaré Shah. Cela signifie renforcer les chemins d’authentification privilégiés et appliquer des contrôles plus stricts au trafic administratif et aux logiciels autorisés à s’exécuter sur les infrastructures critiques.
Tyagi a déclaré que les RSSI devraient également s’efforcer de contenir ce qu’il a décrit comme le « rayon de confiance », limitant la distance qu’un attaquant peut parcourir si un système ou une connexion fiable est compromis.
Cela nécessite d’examiner les liens réseau en fonction de ce qu’ils rendent accessible et de séparer les environnements sensibles lorsque cela est possible, plutôt que de supposer qu’une connexion fiable est intrinsèquement sûre.
Les plans de réponse aux incidents doivent supposer que les routeurs ou les serveurs d’authentification eux-mêmes peuvent être compromis. Les organisations ont donc besoin de preuves conservées de manière indépendante et d’un accès hors bande afin que les intervenants ne soient pas obligés de s’appuyer sur la même infrastructure de gestion que celle sur laquelle ils enquêtent.
