Fire Ant kapert Cisco IOS XR und TACACS-Server

Betroffen sind Umgebungen mit Cisco IOS XR Routern, zentraler TACACS-Authentifizierung und Linux-Hosts für Netzwerkmanagement. Der von Sygnia untersuchte Angriff führte über bereits kompromittierte, vertrauenswürdige Infrastruktur: Ein älterer Linux-Host diente als Tunnelendpunkt und Scanplattform, ein manipulierter TACACS-Daemon kopierte Zugangsdaten legitimer Sitzungen, danach hielt sich der Akteur auf Routern und weiteren Managementsystemen. Für Betreiber ist die Lage dringend, weil übliche Kontrollen selbst manipuliert worden sein können. Die erste Prüfung sollte Inventar, laufenden Zustand und unabhängige Telemetrie vergleichen.

Gesichert ist laut Berichterstattung vom 31. August 2026 die technische Untersuchung durch Sygnia, darunter ein auffälliges GRE-Tunnelinterface in einer VRF ohne passende Konfiguration oder Commit-Historie, ein maßgeschneidertes IOS-XR-Toolkit sowie manipulierte Linux- und TACACS-Komponenten. Die Zuordnung zu einem China-nahen Akteur stützt sich unter anderem auf Codeüberschneidungen mit UNC3886, ist aber nicht absolut bewiesen. Unternehmen sollten heute prüfen, ob sie die genannten Systeme einsetzen, verdächtige Tunnel und Bootdienste sichern, Zugangsdaten aus einer sauberen Umgebung wechseln und bei Treffern eine forensische Untersuchung einleiten.

Was Sygnia bei Fire Ant entdeckt hat

Der von Sygnia als Fire Ant bezeichnete Akteur zielte nicht auf einzelne Endgeräte, sondern auf zentrale Komponenten, denen Administratoren und Sicherheitssysteme normalerweise vertrauen. Dadurch konnte der Angreifer Verbindungen aufbauen, Zugangsmaterial beobachten und sich in der Managementebene bewegen.

Ausgangspunkt der Untersuchung war ein GRE-Tunnelinterface auf einem Cisco IOS XR Router in einer VRF. Auffällig war die Diskrepanz zwischen aktivem Zustand und Verwaltungsdaten: Für das Interface fanden sich weder passende Konfiguration noch nachvollziehbare Commit-Historie. Solche Unterschiede zwischen Laufzeit, Konfigurationsdatenbank und Änderungsprotokoll sind bei Netzwerkgeräten ein starkes Warnsignal.

Wie der Angriffspfad aufgebaut war

Die Angriffskette verband Router, Authentifizierungsserver und Linux-Managementhosts. Ein bereits kompromittierter Linux-Rechner diente als Tunnelendpunkt und Plattform zum Scannen weiterer Ziele nach erreichbaren SSH-, RDP- und Webdiensten. Der ursprüngliche Zugang ist öffentlich nicht abschließend geklärt.

Ein Linux-Managementhost wurde kompromittiert und als operative Basis genutzt.
Der Host terminierte verdeckte Tunnel und scannte interne Systeme nach SSH, RDP und Webzugängen.
Eine manipulierte Bibliothek des TACACS-Daemons kopierte Zugangsmaterial aus legitimen Sitzungen.
Gestohlene Berechtigungen erleichterten den Zugriff auf weitere Managementsysteme.
Auf Cisco IOS XR kam ein angepasstes Toolkit für Persistenz, Befehlsausführung, Logging und Routing zum Einsatz.
Manipulierte Protokolle und Systemdaten sollten die Aktivitäten vor der Analyse verbergen.

TACACS ist häufig zentrale Kontrolle für administrative Netzwerkzugriffe. Ist der Server manipuliert, liefert eine legitime Anmeldung zugleich neues Zugangsmaterial an den Angreifer.

Das maßgeschneiderte Toolkit für Cisco IOS XR

Das IOS-XR-Toolkit griff laut Sygnia in Befehlsausführung, Routing und Protokollierung ein. Eine Komponente war als legitimer Bootdienst getarnt, aktiv nur in ungeraden Stunden, offenbar um die Entdeckung bei regelmäßigen Kontrollen zu erschweren.

Deutlich wird die Manipulation an der Funktion evsyslog. Sie ließ nur Meldungen mit dem String Health passieren, andere relevante Ereignisse verschwanden aus der Protokollierung. Eine unauffällige Syslog-Lage ist deshalb kein Entwarnungssignal, sondern möglicherweise selbst ein Indikator für Manipulation.

Komponente	Beobachtung	Risiko	Prüfansatz
Cisco IOS XR	GRE-Interface in VRF ohne passende Konfiguration und Historie	Verdeckter Datenpfad	Laufzeit, Konfiguration und externe Sicht abgleichen
IOS-XR-Bootdienst	Als legitimer Dienst getarnt, aktiv nur in ungeraden Stunden	Persistenz mit Verschleierung	Dienstdateien und Startketten rund um die Uhr erfassen
Syslog	Manipulierte `evsyslog`-Funktion filtert nach `Health`	Blindstelle in Forensik	Lokale Logs mit externen Sensoren vergleichen
TACACS	Manipulierte Daemon-Bibliothek kopiert Zugangsmaterial	Übernahme von Sitzungen	Bibliotheksintegrität und Authentifizierung prüfen
Linux-Hosts	Backdoors, Tunnel, Scanner und manipulierte Login-Daten	Seitwärtsbewegung, Fernzugriff	Offline-Forensik und unabhängige EDR-Telemetrie

Linux-Backdoors und manipulierte Spuren

Auf Linux-Systemen fanden die Ermittler mehrere Backdoors, teilweise seit 2025 vorhanden, eine davon als SentinelOne-Agent getarnt. Das bedeutet nicht, dass SentinelOne kompromittiert wurde, sondern zeigt, dass Angreifer bekannte Namen nutzen, um Prozesse unauffälliger wirken zu lassen.

Eine weitere Hintertür reagierte auf präparierte Netzwerkpakete, ohne offen sichtbaren Listener. Prüfungen auf lauschende Ports reichen deshalb nicht aus. Zusätzlich wurden wtmp, utmp und btmp sowie sudo-Protokolle manipuliert, die Anmeldungen, Sitzungen und privilegierte Befehle dokumentieren.

Sind lokale Beweisquellen verändert, muss die Untersuchung auf unabhängige Daten ausweichen: zentrale unveränderbare Logspeicher, NetFlow, Paketmitschnitte, Hypervisor-Telemetrie und getrennte Identitätsdaten.

Wie belastbar ist die Zuordnung?

Sygnia ordnet Fire Ant einem China-nahen Spionagekontext zu, gestützt auf Codeüberschneidungen mit UNC3886, einer Gruppe, die bereits Netzwerk- und Virtualisierungsinfrastruktur angegriffen hat. Überschneidender Code stützt eine Zuordnung, beweist aber weder Auftraggeber noch Identität.

Die technischen Artefakte stammen aus der forensischen Untersuchung, die Verbindung zu einem staatlichen Akteur bleibt eine analytische Einschätzung mit Unsicherheit. Für Abwehrmaßnahmen ist das unerheblich, entscheidend sind beobachtbare Indikatoren und die Möglichkeit, dass privilegierte Infrastruktur bereits nicht mehr vertrauenswürdig ist.

Wer betroffen ist und wer eher nicht

Relevant ist die Meldung für Organisationen mit Cisco IOS XR Routern zusammen mit TACACS und Linux-basierten Managementsystemen, besonders bei älteren Managementhosts mit weitreichendem Netzwerkzugang, Sitzungen ohne gehärtete Sprungserver oder nur lokal gespeicherten Routerlogs.

Unternehmen ohne Cisco IOS XR und TACACS sind nicht direkt betroffen, das Muster bleibt aber relevant bei anderen zentralen Authentifizierungsservern oder Linux-Jump-Hosts. Es gibt keine Aussage, dass alle IOS-XR-Installationen kompromittiert seien, und keine veröffentlichten CVE- oder CVSS-Werte.

Was Admins jetzt prüfen sollten

Inventar abgleichen: IOS XR Router, TACACS-Server, Linux-Managementhosts, Jump-Hosts und Vertrauensbeziehungen erfassen.
Laufzeit gegen Sollzustand prüfen: Interfaces, VRFs, GRE-Tunnel, Routingtabellen mit Konfiguration und Commit-Historie vergleichen.
Zeitfenster erweitern: Kontrollen über gerade und ungerade Stunden verteilen, nicht nur planbare tägliche Momentaufnahmen.
Bootkette untersuchen: Dienste, Pakete, Binärdateien und Startskripte gegen eine vertrauenswürdige Referenz prüfen.
TACACS isolieren: Daemon, geladene Bibliotheken und Paketquellen sichern, bei Verdacht keine weiteren Sitzungen darüber führen.
Zugangsdaten rotieren: Kennwörter, Schlüssel und Secrets aus einer nachweislich sauberen Umgebung ändern.
Logs kreuzprüfen: Lokale Router- und Linux-Protokolle mit zentralen Logspeichern und Flussdaten abgleichen.
Login-Datenbanken sichern: wtmp, utmp, btmp und sudo-Logs vor Bereinigung kopieren.
Netzwerkpakete analysieren: Auch Paketfolgen ohne bekannten Listener untersuchen, nicht nur offene Ports.
Managementebene segmentieren: Zugriff älterer Linux-Hosts auf Router und Authentifizierungsserver begrenzen.
Incident Response starten: Bei Indikatoren den gesamten Vertrauenspfad untersuchen, nicht nur einzelne Systeme neu installieren.

Prioritäten für kleine und mittlere Unternehmen

KMU mit ausgelagertem Netzwerkbetrieb sollten ihren Dienstleister gezielt nach IOS XR, TACACS, Managementhosts und extern gesicherten Routerlogs fragen. Ein Hinweis, dass EDR installiert sei, reicht nicht: Eine Backdoor war als Sicherheitsagent getarnt, Router und TACACS liegen oft außerhalb der Endpunktkontrolle.

Höchste Priorität haben zentrale Identitäts- und Managementsysteme, danach Zugangsdatenwechsel, Segmentierung und Wiederherstellung. Wer einen kompromittierten TACACS-Server nur neu startet, ohne Router, Schlüssel und Sitzungen zu prüfen, lässt den Angreiferpfad offen.

Passende Anleitungen auf S-EDV

Cisco IOS: Legacy-Risiken durch aktiv ausgenutzte Altlasten zeigt, warum veraltete Netzkomponenten besondere Aufmerksamkeit brauchen.
Cisco FMC: Authentifizierungs-Bypass und Zero-Day-Risiken ergänzt die Einordnung für zentrale Cisco-Verwaltungssysteme.
EDR und XDR für KMU auswählen und einführen zeigt, wie Endpunkttelemetrie in eine mehrschichtige Erkennung eingebunden wird.

Quellen

Sygnia: Primärorganisation der forensischen Untersuchung, Detailbericht über die Sekundärquellen erreichbar.
Security Affairs: China-linked Fire Ant hides inside trusted infrastructure, 31. August 2026.
The Hacker News: China-linked Fire Ant hijacks Cisco infrastructure, ergänzende Berichterstattung.