Hacker Chinese Fire Ant Ubah Router Cisco Menjadi Platform Mata-Mata

Kelompok hacker yang dijuluki Chinese Fire Ant diketahui menggunakan taktik baru dengan membajak router Cisco dan mengubahnya menjadi platform untuk melakukan pengintaian terhadap jaringan yang terhubung.

Temuan ini diungkap perusahaan incident response Sygnia setelah menemukan sebuah GRE (Generic Routing Encapsulation) tunnel aktif pada router yang menjalankan Cisco IOS XR. Keberadaan tunnel tersebut tidak dapat dijelaskan melalui running configuration maupun commit history perangkat.

Investigasi lebih lanjut menunjukkan bahwa router tersebut telah dikompromikan dan dipasangi malware khusus yang memungkinkan pelaku mempertahankan akses serta menyembunyikan aktivitas mereka dari administrator jaringan.

Cisco Router Dijadikan Alat Pengintaian

Menurut Sygnia, Fire Ant sebelumnya lebih banyak dikaitkan dengan serangan terhadap VMware hypervisor. Namun, dalam operasi terbaru, kelompok tersebut memperluas target ke perangkat dan sistem yang dipercaya menjadi bagian penting dari infrastruktur jaringan.

Target mereka mencakup Cisco router, server autentikasi TACACS, dan Linux management host.

Pada router Cisco yang telah dikompromikan, Fire Ant memasang malware yang memungkinkan mereka mempertahankan persistence melalui sebuah system service palsu.

Menariknya, implant tersebut dikonfigurasi agar hanya berjalan pada jam-jam tertentu secara bergantian. Teknik ini dapat membantu mengurangi kemungkinan aktivitas malware terlihat oleh administrator atau sistem monitoring.

Malware tersebut juga mampu memanipulasi syslog dengan menyembunyikan pesan tertentu yang berkaitan dengan tunnel. Dengan demikian, aktivitas GRE tunnel yang dibuat oleh pelaku menjadi lebih sulit terdeteksi melalui pemeriksaan log biasa.

Selain itu, malware dapat membuat koneksi Telnet outbound menuju infrastruktur yang dikendalikan Fire Ant dan menyediakan interactive shell tanpa pencatatan aktivitas.

Router Digunakan untuk Menangkap Traffic Jaringan

Setelah memperoleh akses administratif terhadap router, pelaku tidak hanya mempertahankan persistence.

Fire Ant juga memanfaatkan perangkat tersebut untuk menangkap traffic jaringan dari beberapa router dan mengunggah hasilnya dalam bentuk file PCAP ke server FTP eksternal.

Traffic yang berhasil direkam berpotensi memberikan informasi bernilai tinggi mengenai struktur internal jaringan, termasuk topology, koneksi administratif, authentication flow, hubungan routing, serta komunikasi antara jaringan yang saling terhubung.

Dengan cara ini, router yang sebelumnya berfungsi sebagai perangkat transit berubah menjadi titik pengamatan strategis bagi penyerang.

Sygnia menggambarkan perubahan fungsi tersebut sebagai pergeseran peran router menjadi collection platform. Setelah menguasai perangkat, pelaku dapat memanfaatkan posisinya untuk mengamati traffic yang melewati jalur jaringan terpercaya.

GRE Tunnel Menjadi Jalur Tersembunyi

GRE tunnel yang ditemukan pada router tersebut menghubungkan perangkat Cisco yang telah dikompromikan dengan sebuah legacy Linux server.

Server Linux tersebut kemudian digunakan Fire Ant sebagai staging dan reconnaissance system.

Dari titik tersebut, pelaku melakukan probing terhadap sistem di lingkungan lain yang terhubung dengan jaringan korban. Target yang dipindai mencakup sistem bernilai tinggi dan lingkungan yang berkaitan dengan critical infrastructure.

Pemindaian dilakukan melalui berbagai port yang umum digunakan untuk layanan seperti SSH, web services, SMB/RPC, dan RDP.

Dengan memanfaatkan router yang telah dipercaya sebagai bagian dari infrastruktur jaringan, Fire Ant dapat memperoleh posisi strategis untuk mengeksplorasi jaringan yang mungkin sulit dijangkau secara langsung dari internet.

Mengincar “Target di Balik Target”

Sygnia menilai operasi tersebut memiliki tujuan yang lebih luas daripada sekadar mengakses jaringan korban pertama.

Fire Ant diduga berupaya menguasai trusted infrastructure milik korban awal dan menjadikannya sebagai covert bridge untuk mencari jalur menuju jaringan bernilai tinggi yang terhubung dengannya.

Sygnia menyebut strategi tersebut sebagai “target behind the target”.

Dalam skenario ini, organisasi yang pertama kali berhasil ditembus belum tentu menjadi tujuan akhir. Infrastruktur milik korban dapat dimanfaatkan sebagai titik pijak untuk mengakses lingkungan lain yang memiliki nilai strategis lebih tinggi.

Pendekatan tersebut juga menyulitkan proses deteksi karena traffic menuju target berikutnya dapat terlihat berasal dari infrastruktur yang memang dipercaya oleh jaringan tersebut.

Backdoor BridgeAgent Menyamar sebagai Zabbix Agent

Investigasi Sygnia juga menemukan backdoor baru yang sebelumnya belum terdokumentasi dan diberi nama BridgeAgent.

Fire Ant menyamarkan backdoor tersebut sebagai Zabbix monitoring agent, sehingga keberadaannya dapat terlihat seperti komponen monitoring yang sah pada host Linux.

BridgeAgent berjalan sebagai root-level systemd service, memberikan persistence tingkat tinggi pada sistem yang telah dikompromikan.

Backdoor tersebut mendukung TLS reverse shell serta kemampuan menjalankan payload tambahan. Dengan akses tersebut, pelaku dapat mempertahankan kendali terhadap host sekaligus menjalankan komponen malware lainnya sesuai kebutuhan operasi.

Penggunaan nama dan fungsi yang menyerupai software monitoring legitimate menjadi salah satu teknik yang dapat membantu malware berbaur dengan aktivitas normal sistem.

Fire Ant Diduga Memiliki Kaitan dengan UNC3886

Sygnia menemukan adanya kemiripan kuat antara aktivitas Fire Ant dan UNC3886, kelompok espionage asal China yang sebelumnya telah didokumentasikan oleh Google.

Meski demikian, peneliti mencatat adanya sejumlah perbedaan teknis, termasuk pada filename, path, dan detail implementasi malware.

Karena perbedaan tersebut, atribusi tidak dapat disamakan sepenuhnya hanya berdasarkan kemiripan teknik dan infrastruktur.

Namun, pola serangan terhadap perangkat jaringan yang dipercaya, penggunaan persistence tersembunyi, serta eksploitasi trusted infrastructure menunjukkan karakteristik operasi espionage yang dirancang untuk mempertahankan akses dalam jangka panjang.

Pelaku Juga Memanipulasi Log dan Timestamp

Salah satu aspek yang membuat investigasi terhadap Fire Ant semakin sulit adalah kemampuan mereka untuk menghapus atau memanipulasi jejak aktivitas.

Sygnia menemukan bahwa kelompok tersebut secara sistematis mengubah system logs dan records. Bahkan timestamp file juga dapat dimodifikasi untuk mengaburkan waktu sebenarnya ketika aktivitas berbahaya terjadi.

Teknik tersebut dapat membuat investigator memperoleh gambaran yang keliru ketika hanya mengandalkan log dari perangkat yang telah dikompromikan.

Karena itu, Sygnia mengingatkan bahwa log yang diambil dari infrastructure yang terinfeksi perlu divalidasi menggunakan sumber data lain agar timeline serangan dapat direkonstruksi secara akurat.

Laporan investigasi tersebut juga menyediakan berbagai indicators of compromise (IoCs) serta hunting dan YARA rules yang dapat digunakan organisasi untuk mencari tanda-tanda aktivitas Fire Ant di lingkungan mereka.

Serangan ini memperlihatkan bahwa perangkat jaringan seperti router tidak lagi hanya menjadi target untuk mengganggu konektivitas. Ketika berhasil dikuasai, perangkat tersebut dapat berubah menjadi titik pengintaian yang sangat strategis, memungkinkan penyerang melihat traffic internal sekaligus menjadikannya jembatan menuju jaringan lain yang memiliki nilai lebih tinggi.

Sumber: Sygnia