Een cyberspionagegroep met banden naar China, bekend als Fire Ant, heeft zijn aanvalsmethoden uitgebreid van VMware-omgevingen naar netwerk- en authenticatie-infrastructuur die bedrijven gebruiken voor toegangsbeheer en systeemadministratie. Dit blijkt uit onderzoek van het incident response-bedrijf Sygnia.

In 2026 richtte Fire Ant zich op Cisco IOS XR-routers, waarbij deze werden ingezet om netwerkverkeer te verzamelen terwijl de groep actief bewijs van hun aanwezigheid onderdrukte. Daarnaast werden TACACS-authenticatie-infrastructuur en Linux-beheerhosts gecompromitteerd om toegang te verkrijgen tot verbonden omgevingen met hoge waarde. Deze bevindingen bouwen voort op eerder onderzoek van Sygnia dat aantoonde dat Fire Ant diepgaande persistentie wist te vestigen in VMware ESXi- en vCenter-omgevingen. De recente activiteiten tonen aan dat de groep deze tactiek uitbreidt naar infrastructuur die cruciaal is voor het routeren van verkeer en het beheren van bedrijfsnetwerken.

Sygnia ontdekte pogingen om logging te onderdrukken en configuratiewijzigingen te verbergen op de getroffen netwerkapparatuur, terwijl ook op Linux-systemen bewijs werd gemanipuleerd. De operatie creëert volgens Sygnia een scenario waarbij toegang tot de vertrouwde infrastructuur van een organisatie kan leiden tot blootstelling van andere waardevolle omgevingen. Hoewel Fire Ant systemen gerelateerd aan kritieke infrastructuur onderzocht, is er geen bewijs dat deze systemen daadwerkelijk zijn gecompromitteerd.

Sygnia stelt dat de activiteiten van Fire Ant sterk overlappen met de publiekelijk gerapporteerde operaties van UNC3886, een door Mandiant gevolgd spionagecluster met een China-nexus, hoewel de twee niet definitief als identiek worden beschouwd. Mandiant heeft eerder gedocumenteerd dat UNC3886 netwerkapparatuur en TACACS-infrastructuur aanvalt en daarbij conventionele monitoring probeert te omzeilen.

De campagne van Fire Ant stelt beveiligers voor een uitdaging: kunnen zij de systemen vertrouwen die bewijslast leveren voor het onderzoeken van aanvallen? Volgens Sakshi Grover, senior research manager bij IDC Asia Pacific Cybersecurity Services, betekent een gecompromitteerd systeem dat het ontbreken van waarschuwingen of logvermeldingen niet langer bewijs is dat een actie niet heeft plaatsgevonden. Het onderdrukken van AAA-verzoeken, SNMP-traps en command output kan leiden tot blinde vlekken rond beheeractiviteiten, configuratiewijzigingen en credentialgebruik. Grover adviseert om niet te vertrouwen op één apparaat of managementlaag als enige bron van bewijs, maar kritieke telemetrie te exporteren naar onafhankelijk beheerde systemen en deze te vergelijken met andere bronnen zoals identiteitsplatforms en netwerkverkeersdata. Onverklaarbaar verlies van telemetrie of inconsistenties tussen bronnen kunnen zelf een signaal zijn voor detectie.

De activiteiten van Fire Ant bevestigen dat geavanceerde spionagegroepen zich richten op systemen met een bevoorrechte positie binnen bedrijfsnetwerken, voorbij de traditionele endpoints. Grover benadrukt dat één campagne geen algemene trend bewijst, maar dat het past in een patroon waarbij China-gelinkte actoren infrastructuur met hoge privileges aanvallen die mogelijk minder consistent wordt gemonitord. Volgens Akshat Tyagi, associate practice leader bij HFS Research, blijft netwerk-infrastructuur een blinde vlek omdat beveiligingsteams zich traditioneel meer richten op endpoints en servers dan op de systemen die deze verbinden en beheren. Controle over netwerk-infrastructuur kan aanvallers zicht geven op netwerkverkeer en routes naar systemen via vertrouwde verbindingen.