กลุ่มจีน Fire Ant ยึด Cisco IOS XR ขโมยข้อมูลรับรองและปิดตาบันทึกความปลอดภัย ขยายเป้าจาก VMware สู่แกนเครือข่าย

สรุปสั้น

กลุ่มจารกรรมไซเบอร์สายจีนที่ถูกติดตามในชื่อ Fire Ant ได้ขยายแคมเปญที่ดำเนินมายาวนานออกไปไกลกว่าไฮเปอร์ไวเซอร์ VMware โดยหันไปเจาะเราเตอร์ Cisco IOS XR เซิร์ฟเวอร์ Terminal Access Controller Access-Control System (TACACS) และโฮสต์บริหารระบบ Linux ที่ทำหน้าที่จัดเส้นทาง ยืนยันตัวตน และบริหารเครือข่ายมูลค่าสูง บริษัท Sygnia ซึ่งเป็นบริษัทตอบสนองเหตุที่เข้าสอบสวนการบุกรุกครั้งนี้ระบุว่า ผู้โจมตีเปลี่ยนเราเตอร์ที่ยึดได้ให้กลายเป็นแพลตฟอร์มเก็บข้อมูล ทั้งดักจับทราฟฟิกในเครือข่าย เก็บเกี่ยวข้อมูลรับรอง และกดปิดการบันทึกล็อกกับเทเลเมทรีที่ผู้ป้องกันต้องใช้เพื่อประกอบร่างเหตุการณ์การโจมตี

Sygnia ประเมินว่ากลุ่มนี้ใช้จุดยืนที่ยึดได้เพื่อสำรวจเส้นทางไปสู่สภาพแวดล้อมมูลค่าสูงที่เชื่อมต่ออยู่ รวมถึงโครงสร้างพื้นฐานสำคัญ แม้กิจกรรมต่อเครือข่ายเหล่านั้นจะจำกัดอยู่แค่การสแกนและพยายามเชื่อมต่อ ยังไม่ถึงขั้นยืนยันว่าถูกเจาะสำเร็จ การควบคุมเราเตอร์ทำให้ผู้โจมตีมีมุมมองเหนือทราฟฟิกที่วิ่งผ่านเส้นทางเครือข่ายที่ได้รับความไว้วางใจ ซึ่ง Sygnia ย้ำว่า เมื่อผู้โจมตีคุมเราเตอร์ได้ พวกเขาไม่ได้แค่ได้ระยะเข้าถึง แต่ได้ “มุมมอง” ต่อทั้งเครือข่ายไปด้วย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 สิงหาคม 2569 ว่า บริษัท Sygnia ได้เปิดเผยผลการสอบสวนการบุกรุกของกลุ่ม Fire Ant โดยประเมินว่ากิจกรรมครั้งนี้ทับซ้อนอย่างมากกับรายงานสาธารณะเกี่ยวกับกลุ่ม UNC3886 ซึ่งเป็นกลุ่มจารกรรมสายจีนที่ขึ้นชื่อเรื่องการโจมตีแพลตฟอร์มเวอร์ชวลไลเซชันและอุปกรณ์ขอบเครือข่าย แม้ในรายงาน Sygnia จะระบุว่ายังไม่ฟันธงการระบุตัวตนอย่างเด็ดขาด ทั้งนี้ บริษัท Mandiant ซึ่งเป็นผู้บันทึกข้อมูล UNC3886 เป็นรายแรก เคยระบุว่าไม่พบความเชื่อมโยงเชิงเทคนิคระหว่างกลุ่มนี้กับปฏิบัติการจีนอีกสองกลุ่มที่ถูกติดตามในชื่อ Salt Typhoon และ Volt Typhoon

กิจกรรมในปี 2569 นี้ต่อเนื่องมาจากการเปิดเผยเรื่อง Fire Ant ของ Sygnia เมื่อเดือนกรกฎาคม 2568 ซึ่งอธิบายการที่กลุ่มนี้ใช้ประโยชน์จาก VMware ESXi และ vCenter ก่อนจะขยับเข้าสู่ชั้นเครือข่ายและชั้นบริหารจัดการ การสอบสวนรอบล่าสุดเริ่มต้นจากความผิดปกติบนเราเตอร์ Cisco IOS XR ที่พบว่ามีอินเทอร์เฟซอุโมงค์แบบ Generic Routing Encapsulation (GRE) ทำงานอยู่โดยไม่มีการตั้งค่าที่รันอยู่หรือประวัติการ commit ใด ๆ มาอธิบายว่ามันถูกสร้างขึ้นได้อย่างไร โดย Sygnia ไม่สามารถระบุได้ว่าผู้โจมตีเข้าถึงเราเตอร์ตัวแรกได้ด้วยวิธีใด

วิธีการโจมตี

การไล่ตามอุโมงค์ดังกล่าวนำผู้สอบสวนไปสู่ระบบ Linux รุ่นเก่า ซึ่ง Fire Ant ใช้เป็นฐานยิงการเชื่อมต่อและการสำรวจพอร์ตซ้ำ ๆ ไปยังพอร์ตบริหารและบริการบนเครือข่ายที่เชื่อมต่ออยู่ ทั้ง SSH, HTTP, SMB และ RDP ตัวมัลแวร์บนเราเตอร์ถูกสร้างขึ้นมาเฉพาะสำหรับ control plane ของ IOS XR ไม่ใช่แอปพลิแอนซ์ Linux ทั่วไป โดยองค์ประกอบหนึ่งฝังไลบรารีระบบที่ถูกดัดแปลงให้ตรวจข้อความล็อกขาออกแต่ละรายการว่ามีสตริง “Health” หรือไม่ แล้วส่งต่อเฉพาะข้อความที่มีสตริงนั้น ส่วนอีกองค์ประกอบหนึ่งแก้ไขเส้นทางการรันคำสั่งของเราเตอร์ให้เติมตัวกรอง | exclude เข้ากับคำสั่ง show เพื่อซ่อนการตั้งค่าอุโมงค์ของผู้โจมตีจากผู้ดูแลระบบที่ตรวจสอบอุปกรณ์ จากนั้น Fire Ant ใช้เราเตอร์ดักจับแพ็กเก็ต (PCAP) จากอุปกรณ์ Cisco หลายตัว แล้วอัปโหลดไปยังเซิร์ฟเวอร์ FTP ภายนอก ซึ่งบางตัวดูเหมือนเพิ่งถูกติดตั้งในวันเดียวกับที่มีการอัปโหลด

บนเซิร์ฟเวอร์ TACACS นั้น Sygnia พบชุดเครื่องมือเก็บข้อมูลรับรองที่ตั้งชื่อว่า TacTap โดยตัว inject ชื่อ acppid จะโหลดไลบรารีอันตรายเข้าไปในโปรเซส tac_plus ที่กำลังทำงานอยู่ ไลบรารีนี้ hook ฟังก์ชันที่รับการเชื่อมต่อใหม่ แล้วส่งต่อ handle ของเซสชันสด ๆ ไปยังโปรเซสที่สองผ่าน Unix socket ภายในเครื่อง ข้อมูลรับรองที่ดักได้จะถูกเขียนลงไฟล์ /var/log/.tacplus.acct และถูกทำให้อ่านยากอย่างง่าย ๆ ด้วยคีย์ XOR ขนาดหนึ่งไบต์คือ 0xEF ซึ่ง Sygnia ระบุว่าเทคนิค inject ไลบรารีเข้า tac_plus แบบนี้ยังไม่เคยถูกอธิบายต่อสาธารณะมาก่อน ถือเป็นวิวัฒนาการที่น่าจับตาของฝีมือการเก็บข้อมูลรับรองผ่าน TACACS ของกลุ่มนี้

Sygnia ยังกู้คืนเครื่องมือใหม่ตัวที่สองได้ คือแบ็กดอร์ Linux ที่เรียกว่า BridgeAgent ซึ่งถูกวางบนโฮสต์ที่เชื่อมกับอุโมงค์และปลอมตัวเป็นเอเจนต์เฝ้าระวัง Zabbix อิมแพลนต์นี้คงอยู่ผ่าน systemd unit ชื่อ zabbix_agent.service ที่รันด้วยสิทธิ์ root อำพรางโปรเซสตัวเองเป็น /usr/bin/gnome-shell และเชื่อมต่อกับโครงสร้างพื้นฐานของผู้โจมตีผ่าน TLS บนพอร์ต 443 เพื่อรอรับคำสั่งและคำสั่ง reverse shell นอกจากนี้ทั่วทั้งโฮสต์บริหาร Linux กลุ่มนี้ยังสร้างชั้นการเข้าถึงที่คงทนด้วยรูตคิตโอเพนซอร์ส Medusa และ REPTILE, SSH backdoor ที่สั่งทำเอง และไบนารีที่ถูกเปลี่ยนชื่อและปลอมเวลาเพื่อปลอมเป็นเอเจนต์รักษาความปลอดภัยปลายทางของ SentinelOne และ Cybereason โดยหลายองค์ประกอบถูกวางไว้ตั้งแต่ปี 2568 แล้วนำกลับมาใช้อีกในปี 2569 และมีอย่างน้อยหนึ่งแบ็กดอร์ที่ยังรันอยู่ในหน่วยความจำหลังจากไฟล์ถูกลบออกจากดิสก์แล้ว

ผลกระทบ

การที่ผู้โจมตีเข้ายึดเราเตอร์ TACACS ไฮเปอร์ไวเซอร์ และ jump host ทำให้ได้จุดสังเกตการณ์เหนือเส้นทางเครือข่ายที่ได้รับความไว้วางใจ ซึ่งมองเห็นและดักจับข้อมูลรับรองกับทราฟฟิกได้เป็นวงกว้าง กลุ่มนี้ยังตั้งใจทำลายหลักฐานด้วยการกดปิดล็อกของเราเตอร์ SNMP traps และคำร้องขอการยืนยันตัวตน ปิด SELinux บนโฮสต์ Linux เขียนทับบันทึกประวัติการล็อกอิน และลบรายการคำสั่งที่ใช้สิทธิ์สูงออกจากล็อกระบบ ทำให้การสืบสวนภายหลังทำได้ยากขึ้นมาก Sygnia แนะนำว่าควรปฏิบัติต่อเราเตอร์ เซิร์ฟเวอร์ TACACS ไฮเปอร์ไวเซอร์ และ jump host ในฐานะทรัพย์สินทางนิติวิทยาศาสตร์ชั้นหนึ่ง และผู้สอบสวนควรตรวจสอบล็อกเทียบกับหลักฐานจากหน่วยความจำ ดิสก์ เครือข่าย การยืนยันตัวตน และการตั้งค่า แทนที่จะพึ่งพาเทเลเมทรีแหล่งเดียว กิจกรรมนี้ยังสอดคล้องกับการเก็บทราฟฟิกจากเราเตอร์และ TACACS+ ที่คำแนะนำร่วมซึ่งนำโดย CISA เคยระบุว่าเป็นฝีมือของ Salt Typhoon เมื่อเดือนสิงหาคม 2568

คำแนะนำ

ผู้ดูแลระบบควรถือว่าอุปกรณ์เครือข่ายแกนหลัก เช่น เราเตอร์ เซิร์ฟเวอร์ TACACS ไฮเปอร์ไวเซอร์ และ jump host เป็นเป้าหมายที่มีความเสี่ยงสูงและต้องเฝ้าระวังเป็นพิเศษ ควรตรวจสอบการตั้งค่าเราเตอร์เทียบกับประวัติการ commit จริง เพื่อค้นหาอินเทอร์เฟซอุโมงค์ (เช่น GRE) ที่ไม่มีที่มา ตรวจหาการดัดแปลงเส้นทางการรันคำสั่งหรือไลบรารีระบบที่ผิดปกติ เฝ้าระวัง systemd unit และโปรเซสที่ปลอมเป็นเครื่องมือเฝ้าระวังหรือเอเจนต์ความปลอดภัย (เช่น Zabbix, SentinelOne, Cybereason) ตรวจสอบไฟล์ข้อมูลรับรองซ่อนบนเซิร์ฟเวอร์ TACACS และควรยืนยันความถูกต้องของล็อกด้วยหลักฐานหลายแหล่งเสมอ เนื่องจากกลุ่มนี้ทำลายและปลอมแปลงหลักฐานอย่างเป็นระบบ ทั้งนี้ ชุดตัวบ่งชี้เต็มและกฎ YARA มีให้ในรายงานของ Sygnia

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• The Hacker News — China-Linked Fire Ant Hijacks Cisco Routers to Steal Credentials and Blind Security Logs
• Sygnia — Fire Ant Evolves from Hypervisors to Trusted Infrastructure
• Mandiant / Google Threat Intelligence — China-nexus espionage targets routers