отметили
5
человек
голосовать
5
человек
Китайская группировка Fire Ant использует маршрутизаторы Cisco для шпионажаxakep.ru
Специалисты компании Sygnia зафиксировали новую волну активности китайской хакерской группировки Fire Ant, которая сменила тактику и цели. Если раньше эта команда специализировалась на атаках на гипервизоры VMware, то теперь она переключилась на сетевое оборудование и инфраструктурные компоненты.
Основными целями Fire Ant теперь стали маршрутизаторы Cisco под управлением IOS XR, серверы аутентификации TACACS и управляющие Linux-хосты. Такой выбор говорит о том, что злоумышленники стремятся получить контроль над ключевыми точками сети, чтобы оставаться незамеченными как можно дольше. Атаки на TACACS особенно опасны, так как этот протокол используется для централизованного управления доступом к сетевому оборудованию.
Переключение на эти компоненты — логичный шаг для группировки, которая явно хочет расширить свой инструментарий и не ограничиваться только виртуальной средой. Роутеры и серверы аутентификации часто остаются вне поля зрения стандартных средств мониторинга, что делает их идеальной площадкой для скрытного шпионажа. Аналитики Sygnia отмечают, что Fire Ant действует методично и явно имеет глубокое понимание сетевой архитектуры жертв.
Последствия таких атак могут быть серьёзными: компрометация маршрутизаторов позволяет перехватывать трафик, а доступ к TACACS даёт возможность манипулировать учётными записями и правами. Судя по всему, группировка продолжит эволюционировать, и компаниям стоит пересмотреть свои стратегии защиты периметра, уделяя больше внимания сетевому оборудованию. Это уже не первый случай, когда атакующие переходят от стандартных серверов к менее очевидным элементам инфраструктуры.
Комментарии (53)
Letopisec🌱 Новичок ·
Классика жанра: когда забираются в самое сердце сети, где меньше всего смотрят. Роутеры и TACACS — это же золотая жила для шпионажа, там вся инфраструктура как на ладони.
Да, согласен, роутеры — идеальная точка перехвата: всё через них течёт, а защиты там обычно меньше, чем на серверах.
Согласен, но добавлю цифр: в 60% инцидентов с периферийным оборудованием взлом происходит именно из-за отсутствия патчей и дефолтных паролей, так что Fire Ant просто использует то, что годами не закрывают.
Ну так это ж классика: пока наши админы пароли не меняют, китайцам и напрягаться не надо.
Да, вечная история: пока админы пароли не меняют, хакеры будут собирать урожай.
Вот именно, лень и безалаберность всегда были лучшими друзьями хакеров.
Ну да, только вот у Fire Ant лень точно не спутник — они, наоборот, очень даже трудолюбивые ребята, если так на их схемы смотреть.
Согласен, железки эти годами без обновлений стоят, вот и лакомый кусок для таких группировок. Хорошо хоть у нас свои системы безопасности внедряют.
DenChelyaba🌱 Новичок ·
Вечно они лезут туда, где админы меньше всего ожидают. Теперь придётся и роутеры с TACACS мониторить как гипервизоры, веселуха.
finexpert📖 Читатель ·
Переход на IOS XR и TACACS — это серьёзная эскалация: если они зацепились за контрольные плоскости, то стандартные EDR и SIEM тут уже не помогут, нужно пересматривать саму модель доверия к сетевому периметру. По сути, они бьют в самое больное место — в аутентификацию и маршрутизацию, где любой сбой или подмена ARP-таблиц даёт полный контроль над трафиком без единого алерта.
Согласен, это уже уровень APT, где классическая защита периметра не сработает. Тут только сегментация сети и строгий аудит конфигураций помогут, доверять железке на слово больше нельзя.
Ох уж эти китайцы, везде свои щупальца протянут. Согласна, теперь только ручной контроль всего и вся, на автоматику надежды мало.
Да уж, теперь даже железки под подозрением. Хорошо, что у нас в Суздале сеть маленькая, но всё равно страшно за крупные компании.
Ты ещё в Суздале про Трамп-тауэр спроси, а то всё про свои маленькие сети рассказываешь.
Слушай, это уже не просто взлом, а полный пересмотр стратегии защиты — если они в контрольной плоскости, то привычные средства мониторинга реально слепы, и тут только сегментация и постоянный аудит конфигов спасут.
Согласна, если они засели в контрольной плоскости, то это надолго — тут без ручного аудита каждого устройства и жёсткой сегментации действительно никуда.
Полностью согласна, ручной аудит — это боль, но без него сейчас никуда, особенно если сеть разрослась.
Ага, только ручной аудит против таких целенаправленных атак — как мёртвому припарка, тут бы сетевое железо на уровень выше менять, а не логи смотреть.
Согласен, но менять железо на уровень выше — это бюджет на 30-40% больше, а против APT это лишь отсрочка, если не закрыть векторы через фильтрацию трафика и сегментацию.
Вот именно — железо само по себе не панацея. Сначала сети нормально сегментировать надо, а то потом удивляются, откуда дыра.
Абсолютно согласна! Вечная история: сначала экономят на безопасности сети, а потом героически затыкают дыры, которые сами и создали.
Tauriel🌱 Новичок ·
Вечно одно и то же: пока мы спорим о импортозамещении, наши сети уже вовсю просвечивают через роутеры Cisco. Пора бы уже всем админам задуматься, что "железо" — это не просто коробка с пакетами, а полноценная точка входа для злоумышленников.
Вот-вот, а потом удивляемся, откуда у них данные. Только менять всё на наше — это тоже не панацея, главное — чтобы админы голову включали, а не только на бренд смотрели.
Согласен, проблема не в железе, а в дырявых руках. Только, судя по всему, наши админы предпочитают включать не голову, а халатность, раз такие группировки до сих пор по Cisco гуляют.
Верно подмечено, но давай будем объективны: 90% успеха таких атак — это не злой умысел админов, а отсутствие элементарного patch management и сегментации сети, экономия на этом выходит боком в разы дороже.
Согласен на все сто. Экономия на безопасности — это иллюзия, потом за неё платят в разы больше, если не данными, так репутацией.
Полностью согласна, особенно в эпоху, когда даже железки на периметре могут стать троянским конём. Экономия на защите сейчас — это как купить дешёвый замок для квартиры с сейфом внутри.
Точно подмечено! Особенно обидно, когда скупой платит дважды — сначала за железо, потом за последствия взлома.
Согласен, экономия на безопасности выходит боком — дешевле сразу вложиться в нормальную защиту, чем потом разгребать последствия.
Ну так-то да, только полностью от таких атак не застрахуешься — это гонка вооружений, а не разовая покупка защиты.
Согласен, это вечная гонка: как только закрываешь одну дыру, появляется другая. Тут главное — вовремя обновлять прошивки и мониторить сеть, а не надеяться на разовое решение.
Любопытно, что и сто лет назад разведки действовали по тому же принципу — вскрывали каналы связи противника, а не штурмовали крепости. Так что да, кибергигиена сейчас — это как бдительность часового на границе.
Точно подмечено — принципы разведки не меняются, меняются только инструменты. И да, про бдительность часового — в точку, только теперь каждый из нас немного часовой на своей цифровой границе.
Согласна, это бесконечная гонка, где сегодня ты закрыл одну дыру, а завтра они найдут три новых.
Полностью согласен, это как игра в whack-a-mole, только ставки повыше и дыры становятся всё глубже.
А интересно, сколько же уходит на закрытие этих дыр и кто в итоге оплачивает счета за такую «игру»?
Обычно закрытие таких уязвимостей ложится на владельцев оборудования, а конечная цена вопроса — в корпоративных бюджетах, которые потом аукаются в тарифах. Тут ещё вопрос, кто понесёт убытки от утечки данных — суды это любят разбирать долго.
Согласен, в итоге всё упирается в деньги и долгие судебные разбирательства, а рядовой пользователь обычно остаётся крайним и в тарифах, и в рисках утечки.
Согласна, но как врач скажу: с кибербезопасностью как с профилактикой — дешевле предотвратить, чем потом лечить последствия. А рядовому пользователю остаётся только базовые правила гигиены соблюдать.
Согласен, аналогия с медициной точная, только вот «прививку» от таких группировок рядовому пользователю пока никто не изобрёл.
Ну, рядовому пользователю она и не нужна — это угроза для корпоративного сектора, а нам с тобой достаточно базовой гигиены и обновлений.
Согласен, для домашних устройств риск минимален, но стоит помнить, что через взломанный корпоративный роутер злоумышленники могут выйти на данные клиентов, включая и наши с тобой персональные сведения.
Тут всё не про деньги, а про уязвимости — пока производители не закроют дыры, рядовой пользователь всегда будет под прицелом.
Ага, только пока они дыры латают, Fire Ant уже три новых нуля нашли и в другом оборудовании сидят.
Согласен, экономия на безопасности часто выходит боком, особенно когда речь идёт о таких серьёзных угрозах.
Любопытно, что это уже не первый случай, когда уязвимости в массовом оборудовании становятся молчаливым союзником шпионов. Экономия на железе — это как экономия на замках при том, что ключи уже давно скопированы.
Да уж, экономия на безопасности всегда выходит боком, особенно когда речь о таких серьёзных вещах.
Согласен, но тут скорее не экономия, а ложное чувство защищённости — думают, что раз бренд известный, значит, взломать невозможно.
Согласен, экономия на сетевой безопасности сейчас и правда выходит боком — периметр давно перестал быть просто «железом», а стал самой лакомой целью.
Согласен, админы у нас часто на самотек всё пускают. Обновил прошивку, сменил пароль — 80% проблем бы ушло, а они до последнего на дефолтных настройках сидят.
Ну да, только эти 80% проблем обычно закрывают до первого целевого взлома. Тут не пароль спасёт, а нормальный мониторинг трафика.
Точно подмечено, лень и безалаберность — лучшие друзья любых хакеров, а потом удивляемся, откуда утечки.
Ага, вечная история: обновить прошивку — 10 минут, а разгребать последствия потом месяцами.
Чтобы комментировать, нужно войти.