Một chiến dịch gián điệp mạng liên hệ Trung Quốc được theo dõi với tên Fire Ant đã mở rộng từ môi trường VMware sang các lớp hạ tầng được tin cậy hơn, gồm router Cisco IOS XR, máy chủ TACACS và máy chủ Linux quản trị mạng. Theo phân tích của Sygnia, các thiết bị này bị lợi dụng để thu thập lưu lượng, đánh cắp thông tin đăng nhập và làm suy yếu khả năng ghi log của đội phòng thủ.
Vụ việc đáng chú ý vì router, máy chủ xác thực và máy chủ nhảy thường nằm ở vị trí trung tâm trong mạng doanh nghiệp. Khi những thành phần này bị kiểm soát, kẻ tấn công không chỉ có thêm đường đi ngang trong hệ thống mà còn có góc nhìn trực tiếp vào luồng dữ liệu, phiên quản trị và bằng chứng điều tra.
Chiến dịch bắt đầu từ một dấu hiệu bất thường trên router Cisco
Sygnia cho biết cuộc điều tra bắt đầu khi phát hiện một giao diện GRE tunnel đang hoạt động trên router Cisco IOS XR nhưng không có cấu hình đang chạy hoặc lịch sử commit nào giải thích việc tạo tunnel đó. Từ điểm bất thường này, nhóm điều tra lần ra một máy chủ Linux cũ được dùng để dò quét cổng và thử kết nối tới các dịch vụ quản trị như SSH, HTTP, SMB và RDP trong các mạng liên quan.
The Hacker News dẫn phân tích của Sygnia cho biết mã độc trên router được thiết kế riêng cho control plane của IOS XR, thay vì chỉ là công cụ Linux thông thường. Một thành phần sửa đổi thư viện hệ thống để chỉ chuyển tiếp một số thông điệp log nhất định, trong khi thành phần khác can thiệp đường thực thi lệnh nhằm thêm bộ lọc vào các lệnh show, qua đó che giấu cấu hình tunnel khỏi quản trị viên.
TACACS trở thành điểm thu thập thông tin đăng nhập
Trên máy chủ TACACS, Sygnia phát hiện bộ công cụ thu thập thông tin đăng nhập được đặt tên là TacTap. Dữ liệu bị ghi vào tệp /var/log/.tacplus.acct và được làm rối nhẹ bằng khóa XOR một byte 0xEF. Kỹ thuật chèn thư viện vào tac_plus này được Sygnia đánh giá là một bước tiến đáng chú ý trong cách Fire Ant nhắm vào hệ thống xác thực quản trị.
Ngoài TACACS, nhóm tấn công còn triển khai backdoor Linux BridgeAgent, ngụy trang như tác nhân giám sát Zabbix, cùng các rootkit nguồn mở như Medusa và REPTILE. Một số thành phần được đặt tên và chỉnh dấu thời gian để trông giống tác nhân bảo mật SentinelOne hoặc Cybereason, nhằm giảm khả năng bị chú ý trong quá trình rà soát thủ công.
Ý nghĩa với đội vận hành an ninh
Điểm nguy hiểm của chiến dịch không nằm riêng ở một thiết bị bị xâm nhập, mà ở việc kẻ tấn công kiểm soát chính lớp hạ tầng dùng để định tuyến, xác thực và ghi nhận hoạt động quản trị. Nếu log trên router, trap SNMP hoặc lịch sử đăng nhập đã bị chỉnh sửa, việc chỉ dựa vào một nguồn telemetry có thể khiến điều tra viên bỏ sót dấu vết quan trọng.
Sygnia khuyến nghị xem router, TACACS server, hypervisor và jump host là tài sản pháp chứng cấp một. Các tổ chức nên đối chiếu bằng chứng từ bộ nhớ, ổ đĩa, lưu lượng mạng, cấu hình thiết bị và hệ thống xác thực, thay vì mặc định rằng log của thiết bị mạng luôn phản ánh đầy đủ sự thật.
Khuyến nghị phòng vệ
Doanh nghiệp vận hành Cisco IOS XR hoặc các hệ thống xác thực quản trị tập trung nên rà soát các tunnel không có lịch sử cấu hình rõ ràng, kiểm tra thay đổi bất thường trong thư viện hệ thống, tiến trình nền và tệp log nhạy cảm. Các tài khoản quản trị dùng qua TACACS cần được đánh giá lại phạm vi quyền, buộc xoay vòng mật khẩu nếu có dấu hiệu lộ lọt và bổ sung xác thực đa yếu tố ở những điểm hỗ trợ.
Đội SOC cũng nên đưa thiết bị mạng và máy chủ quản trị vào kế hoạch săn tìm mối đe dọa định kỳ. Với các môi trường có giá trị cao, việc thu thập cấu hình, snapshot bộ nhớ, dấu vết PCAP và log từ nguồn độc lập sẽ giúp giảm rủi ro bị đánh lừa khi kẻ tấn công đã kiểm soát lớp hạ tầng tin cậy.
VNCyberS tổng hợp từ Sygnia, The Hacker News và BleepingComputer
Tiếng Việt
English