Fire Ant transforme les routeurs Cisco en postes d’espionnage grâce à des tunnels GRE invisibles
Le 31 août 2026, Sygnia a documenté comment l’APT chinoise Fire Ant, qui recoupe UNC3886, abandonne les hyperviseurs VMware pour détourner les routeurs Cisco IOS XR et capter le trafic qui les traverse. Un tunnel GRE actif mais absent de la configuration suffit à changer un routeur de transit en plate-forme de collecte — et impose d’auditer ces équipements comme des points d’observation, pas comme de simples sauts.
31 août 2026. La société d’intervention Sygnia publie un rapport détaillé sur Fire Ant, un groupe d’espionnage chinois qui recoupe largement UNC3886, l’acteur documenté par Google. 31 août 2026. BleepingComputer relaie la découverte. Le point de bascule tient en une phrase : l’acteur ne cible plus les hyperviseurs VMware, mais les routeurs Cisco IOS XR, les serveurs d’authentification TACACS et les hôtes de gestion Linux. Pourquoi c’est important ? Un routeur de cœur de réseau est déjà un point de passage obligé du trafic ; le compromettre, c’est installer une oreille au centre du réseau.
Un tunnel GRE que personne n’a configuré
Tout commence par une anomalie que les équipes réseau remarquent trop rarement. Sur un routeur Cisco IOS XR, les analystes de Sygnia découvrent une interface GRE (Generic Routing Encapsulation) active. Problème : cette interface n’apparaît ni dans la configuration en cours, ni dans l’historique des commits. Un tunnel GRE ne se crée pas tout seul — sa présence hors configuration est la signature d’une modification faite hors de la gestion de configuration.
Ce détail est capital. Les routeurs sont administrés via des fichiers de configuration versionnés ; une interface qui n’y figure pas échappe aux revues, aux diff de configuration et aux outils de conformité. C’est exactement l’espace dans lequel Fire Ant s’installe : entre ce que l’équipement fait réellement et ce que l’inventaire croit qu’il fait.
Du matériel de transit au point d’observation
Le rapport de Sygnia pose le constat qui change tout. Historiquement, un routeur compromis servait de relais : l’attaquant l’utilisait pour rebondir, ou pour intercepter ponctuellement du trafic. Fire Ant va plus loin. En positionnant un routeur de cœur sous son contrôle, le groupe transforme « le rôle du routeur, d’un dispositif de transit, en plate-forme de collecte ». La citation mérite d’être lue deux fois : le routeur devient « un point d’observation du trafic qui circule sur des chemins réseau de confiance ».
La mécanique est simple et redoutable. Le GRE dissimulé relie le routeur compromis à un serveur Linux hérité, utilisé comme système de transit et de reconnaissance. Depuis ce point, l’attaquant sonde les environnements connectés à forte valeur — y compris des systèmes liés à des infrastructures critiques — sur les ports habituels SSH, services web, SMB/RPC et RDP.
Un malware conçu pour ne pas se faire voir
La persistance de Fire Ant est à la hauteur de sa discrétion. Le malware déployé sur les équipements s’appuie sur un service système factice qui n’exécute l’implant que pendant des heures alternées. Autrement dit, l’implant ne tourne pas en permanence : il s’active par créneaux, ce qui complique la détection par monitoring continu et fait ressembler son activité à un bruit légitime.
Surtout, le malware supprime sélectivement les messages syslog liés au tunnel. Pour un administrateur qui consulte ses journaux, le GRE dissimulé n’existe pas : les traces qui le révéleraient sont filtrées avant même d’être écrites. Le malware ouvre par ailleurs des connexions Telnet sortantes vers l’infrastructure de Fire Ant et fournit un shell interactif sans journalisation. Résultat : l’attaquant opère sur l’équipement sans laisser de trace exploitable.
Les attaquants poussent l’opération jusqu’à capturer le trafic de plusieurs routeurs et exfiltrer les fichiers PCAP vers des serveurs FTP externes. Ces captures exposent la topologie interne, les flux d’authentification, les relations de routage et le trafic échangé avec les réseaux connectés. Pour un espion, c’est un trésor : l’équivalent d’un plan d’architecture vivant du réseau de la victime.
BridgeAgent, le backdoor déguisé en agent de supervision
L’autre découverte du rapport est un backdoor jusqu’ici non documenté, baptisé BridgeAgent. Son astuce : se faire passer pour un agent de supervision Zabbix légitime. Sous ce déguisement, le backdoor persiste comme un service systemd au niveau root et prend en charge des reverse shells TLS ainsi que l’exécution de charges additionnelles sur l’hôte compromis.
Le choix du déguisement n’est pas anodin. Les agents de supervision sont omniprésents sur les infrastructures gérées, souvent exclus des règles de détection, et leur présence est attendue sur un hôte de gestion. En se fondant dans cette catégorie, BridgeAgent profite du même angle mort que le GRE hors configuration : il ressemble à ce que l’environnement attend, donc il n’est pas regardé.
« La cible derrière la cible »
Sygnia résume la stratégie de Fire Ant par une formule : « la cible derrière la cible ». L’opération ne vise pas la première victime pour elle-même. Elle consiste à compromettre une infrastructure de confiance chez une victime initiale, puis à l’utiliser comme pont dissimulé pour explorer les chemins d’accès vers les réseaux à forte valeur qui lui sont connectés.
Cette approche change la manière de raisonner sur le risque. Un routeur, un serveur TACACS ou un hôte de gestion n’est pas seulement un actif à protéger : c’est un point de départ potentiel vers des actifs plus sensibles. La compromission d’un équipement jugé « intermédiaire » peut être la première étape d’une chaîne qui mène à l’infrastructure critique du client ou du partenaire.
Une attribution solide, mais des variantes locales
Sygnia relie l’activité de Fire Ant à UNC3886, le groupe d’espionnage chinois documenté par Google, avec un recoupement fort. Le rapport nuance toutefois : des différences subsistent dans les noms de fichiers, les chemins et les détails d’implémentation. Autrement dit, il s’agit soit du même acteur qui fait évoluer son arsenal, soit d’un sous-groupe ou d’un imitateur qui partage le même mode opératoire. Dans les deux cas, la conclusion opérationnelle est identique : l’infrastructure de gestion des réseaux est une cible prioritaire.
Les chercheurs avertissent aussi que Fire Ant altère systématiquement les journaux et les métadonnées, jusqu’aux horodatages de fichiers, pour effacer les preuves utiles aux enquêteurs. Le corollaire est important pour la réponse à incident : les journaux récupérés sur une infrastructure compromise doivent être validés contre d’autres sources avant d’être pris au sérieux.
Ce que ça change pour la défense
Le rapport de Sygnia fournit une liste d’indicateurs de compromission (IoC), des règles de hunting et des règles YARA pour détecter Fire Ant. Mais au-delà des signatures, l’épisode impose trois réflexes structurels :
- Réconcilier la configuration et la réalité : toute interface GRE ou tunnel active qui n’apparaît ni dans la configuration ni dans l’historique des commits est une alerte, pas une curiosité.
- Traiter le routeur comme un point d’observation : le trafic qui le traverse est du renseignement ; sa compromission transforme l’équipement en capteur pour l’attaquant.
- Se méfier des journaux eux-mêmes : un syslog silencieux sur une activité attendue est précisément le symptôme à chercher, car l’attaquant filtre avant d’écrire.
Verdict
Si vous gérez des routeurs Cisco IOS XR ou des serveurs TACACS, commencez par auditer les interfaces tunnel et GRE actives contre l’historique de configuration, et déployez les IoC et règles YARA publiés par Sygnia. Une interface tunnel hors configuration doit déclencher une réponse à incident immédiate, pas un ticket de niveau 2.
Si vous concevez la segmentation d’un réseau à forte valeur, partez du principe que les équipements de gestion — routeurs, serveurs d’authentification, hôtes d’administration — sont la première cible d’un acteur de type Fire Ant. La défense ne s’arrête pas à la frontière du SI : elle inclut la capacité à détecter un routeur devenu capteur, et à ne pas faire confiance à des journaux qu’un attaquant peut filtrer.