Sicherheitsforscher von Sygnia haben eine mutmaßlich aus China operierende Gruppe von Cyberangreifern entdeckt, die Cisco-Router kapert. Die als "Feuerameisen" (Fire Ant) bezeichnete Gruppe kapert bei Angriffen Cisco-Router und versucht eine aktive GRE-Tunnelschnittstelle einzurichten, um dann Spionageaktivitäten zu betreiben.
Die erstmals 2025 erwähnte (mutmaßlich chinesische) Cybergruppe Fire Ant ist wohl auch im Jahr 2026 aktiv. The Hacker News hat zum 31. August 2026 die Erkenntnisse von Sygnia in nachfolgendem Tweet sowie in diesem Artikel aufgegriffen. Weiterhin habe ich das Thema bei den Kollegen von Bleeping Computer gesehen.
Laut dem Sicherheitsunternehmen Synia weitete die Gruppe 2026 ihre Aktivitäten über Hypervisoren hinaus auf die vertrauenswürdige Infrastruktur aus. Statt Angriffen auf VMware-Hypervisoren erweitert due Gruppe ihre Taktik, um Cisco-IOS-XR-Router, TACACS-Server (Terminal Access Controller Access-Control System) und Linux-Verwaltungshosts zu kompromittieren, die für die Weiterleitung, Authentifizierung und Verwaltung hochwertiger Netzwerke eingesetzt werden.
Die Gruppe zielt damit auf Infrastruktur, über die Datenverkehr läuft. Man versucht in Cisco-Routern einen Administrator-Zugriff einzurichten, um dann den Zugriff auf das Gerät zu erlangen und die Aktivitäten im Netzwerk zu protokollieren. Die wichtigste Erkenntnis ist, dass der Akteur nicht mehr nur einzelne Systeme ins Visier nahm, sondern die Infrastrukturebene, die steuert, wie ganze Umgebungen sowohl innerhalb als auch über Organisationsgrenzen hinweg miteinander verbunden sind. Synia hat die Erkenntnisse im Artikel Fire Ant Evolves: From Hypervisors to Trusted Infrastructure veröffentlicht.
MVP: 2013 – 2016
