Le groupe Fire Ant, lié à la Chine, installe un dispositif d’écoute permanent sur des routeurs Cisco iOS XR placés au cœur de réseaux d’entreprise. Ces appareils compromis recueillent le trafic et les identifiants des équipes techniques, sans déclencher la moindre alerte. L’opération est dans la lignée d’une campagne engagée en 2025 contre les hyperviseurs VMware.
Découvert par Sygnia, l’un des spécialistes de réponses aux incidents, Fire Ant est un groupe de piratage informatique lié à la Chine, rattaché par les chercheurs à UNC3886, un groupe d’espionnage identifié par Google. En 2025, ce groupe a mené des intrusions dans des hyperviseurs VMware, ces logiciels chargés de faire fonctionner plusieurs serveurs virtuels sur une seule machine physique. Sygnia vient de trouver une nouvelle étape dans cette campagne, à mesure que Fire Ant compromet les routeurs Cisco iOS XR, les serveurs d’authentification TACACS et les postes d’administration Linux de ces réseaux. Un routeur compromis de cette façon achemine toujours des données, mais copie aussi en continu le trafic en transit, sans alerter les équipes de sécurité.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Un tunnel caché siphonne le trafic sans laisser de trace
Sur les routeurs Cisco iOS XR compromis, Fire Ant installe un tunnel GRE dont l’état est invisible dans les outils de diagnostic habituels. Ce tunnel exporte une copie du trafic vers un serveur FTP extérieur, sous la forme de fichiers PCAP, le format standard de capture réseau. Un binaire malveillant, déguisé sous le nom du service système acpid, modifie en parallèle les journaux du routeur pour en retirer toute trace de son propre passage.
Sur les serveurs d’authentification TACACS, chargés de valider les connexions des administrateurs réseau, une bibliothèque piégée intercepte chaque session acceptée, et les identifiants récupérés atterrissent dans un fichier protégé par un simple XOR, un chiffrement faible et réversible en quelques secondes. Sur les postes Linux de gestion, Fire Ant ajoute un rootkit et plusieurs portes dérobées maquillées en agents de sécurité légitimes, dont un implant, BridgeAgent, imitant le logiciel de supervision Zabbix.
D'’autres composants complètent cet arsenal de discrétion. Un rootkit, Medusa, masque des processus entiers aux commandes système classiques, tandis que deux portes dérobées SSH, cupsdd et smartdd, empruntent les noms de services légitimes pour passer inaperçues. Fire Ant modifie aussi les journaux de connexion du système, désactive partiellement SELinux et exécute certains de ses outils depuis des fichiers supprimés du disque, mais toujours présents en mémoire.
Sygnia ne signale aucune faille inédite dans cette campagne, et les pirates réutilisent seulement des accès obtenus par d’autres moyens. Un correctif logiciel classique n’arrête donc pas ce type d’intrusion.
Cisco, cible récurrente des groupes liés à Pékin
Tant qu’on gagne, on joue et c’est Cisco qui a le plus à perdre ici. Sept mois plus tôt, en janvier, Broadcom a confirmé l’exploitation active d’une faille dans VMware vCenter Server, référencée CVE-2024-37079 et notée 9,8 sur 10 sur l’échelle de gravité CVSS. Cette faille rend possible l’exécution de code à distance via le protocole DCERPC, à condition de disposer d’un accès interne préalable au réseau visé. Sur une vulnérabilité voisine, la CVE-2023-34048, les chercheurs avaient recensé trois groupes liés à la Chine, Fire Ant, Warp Panda et UNC3886.
Cisco a connu un autre incident quelques semaines plus tôt. En décembre 2025, le groupe UAT-9686, également rattaché à la Chine, a exploité une faille notée 10 sur 10, la CVE-2025-20393, dans les passerelles de messagerie Cisco Secure Email Gateway. L’entreprise a publié un correctif en janvier, sans pouvoir effacer les accès installés par les attaquants sur les appareils compromis.
Pour Sygnia, cette progression a un objectif plus large, atteindre depuis ces points d’observation des environnements connectés à forte valeur, infrastructures critiques comprises. L'entreprise recommande d’appliquer aux routeurs, commutateurs et autres équipements réseau le même niveau de surveillance, de durcissement et de préparation aux incidents qu’aux postes de travail et aux serveurs traditionnels.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.