Egy kifinomult, Kínához köthető kiberkémcsoport a virtualizációs infrastruktúrán túlra is kiterjesztette műveleteit. Cisco IOS XR routereket, központi hitelesítési kiszolgálókat és Linux-alapú felügyeleti rendszereket kompromittált annak érdekében, hogy hitelesítő adatokat fogjon el, hálózati forgalmat gyűjtsön, és elrejtse jelenlétének bizonyítékait.
A tevékenységet a Sygnia incidenskezelő vállalat tárta fel, amely Fire Ant néven követi nyomon a fenyegetési szereplőt. A cég szerint a kampány 2026-ban is aktív maradt, és jelentős fejlődést mutatott a csoport korábban dokumentált, VMware ESXi hypervisorok és vCenter felügyeleti rendszerek elleni támadásaihoz képest.
A Fire Ant nem a hagyományos végpontokra vagy egyedi alkalmazásszerverekre összpontosított, hanem arra a megbízható infrastruktúrára, amely a forgalmat továbbítja, hitelesíti az adminisztrátorokat és rögzíti a biztonsági eseményeket. E rendszerek ellenőrzésével a támadók privilegizált rálátást szereztek az áldozat hálózatára, egyúttal lehetőségük nyílt azoknak a bizonyítékoknak a manipulálására, amelyekre a védelmi szakemberek normális esetben támaszkodnának az incidens kivizsgálásakor.
A Sygnia szerint a kompromittált routereket olyan műveleti platformokká alakították, amelyek rejtett hálózati útvonalak létrehozására, forgalomrögzítésre és a naplózás elnyomására is alkalmasak voltak. A támadók egy Terminal Access Controller Access-Control System Plus, vagyis TACACS+ kiszolgálót is feltörtek, így lehallgathatták a hitelesítési munkameneteket, és begyűjthették a központi hozzáférés-vezérlési ponton áthaladó adminisztrátori hitelesítő adatokat.
A kompromittált környezet más, nagy értékű hálózatokkal – köztük kritikus infrastruktúrával – is kapcsolatban állt. A nyomozók megfigyelték, hogy a támadók felderítették ezeket a kapcsolódó környezeteket, és olyan szolgáltatásokhoz próbáltak csatlakozni, mint az SSH, a HTTP, az SMB és a Remote Desktop Protocol (RDP). A Sygnia ugyanakkor nem számolt be olyan bizonyítékról, amely szerint a Fire Ant sikeresen kompromittálta volna ezeket a kapcsolódó hálózatokat.
Ez fontos különbség. A kampány megmutatja, hogy egy szolgáltató, egy felügyeleti környezet vagy egy összekapcsolt szervezet feltörése további feleket is veszélybe sodorhat. Nem bizonyítja azonban, hogy a támadók minden általuk felderített hálózatba be is jutottak.
A Sygnia értékelése szerint a Fire Ant módszerei jelentős átfedést mutatnak az UNC3886 néven nyomon követett, Kínához köthető kémcsoport tevékenységével, amelyet a Google Mandiant részletesen dokumentált. Az incidenskezelő vállalat ugyanakkor nem azonosította egyértelműen a Fire Ant csoportot az UNC3886-tal, mivel eltéréseket talált az egyes fájlok, a telepítési módszerek és más technikai artefaktumok között.
A hasonlóságok ennek ellenére jelentősek. Mindkét tevékenységcsoport virtualizációs platformokat, hálózati eszközöket és TACACS+ infrastruktúrát célzott, miközben VMCI-alapú backdoorokat, Linux rootkiteket, testre szabott SSH-hozzáférést és a hagyományos végpontvédelmi eszközök látóköre alatt működő technikákat alkalmazott.
A Sygnia vizsgálata szerint a művelet nem hagyományos, végpontokra összpontosító behatolás volt, hanem az infrastruktúra vezérlési síkja, vagyis a control plane feletti ellenőrzés megszerzését célzó kampány.
Egy megmagyarázhatatlan alagút leplezte le a behatolást
A nyomozók azt követően kezdték vizsgálni a környezetet, hogy rendellenes Generic Routing Encapsulation, vagyis GRE-alagutat fedeztek fel egy Cisco IOS XR routeren. Az alagútinterfész aktív volt, annak létrehozására azonban sem az eszköz futó konfigurációjában, sem a változtatások rögzített előzményeiben nem találtak legitim magyarázatot.
A GRE-alagutakat rutinszerűen használják hálózatok közötti forgalomtovábbításra, egy mag- vagy peremrouteren létrehozott jogosulatlan alagút azonban rejtett útvonalat biztosíthat a támadónak a biztonsági határvonalakon keresztül. Lehetővé teheti azt is, hogy a forgalom megkerülje a tűzfalak és más ellenőrző rendszerek által felügyelt útvonalakat.
Az alagút nyomainak követése egy régi Linux-kiszolgálóhoz vezette a nyomozókat. A Fire Ant erről a rendszerről ismételten felderítette a csatlakoztatott hálózatok adminisztrációs és alkalmazásszolgáltatásait, és többek között SSH, HTTP, SMB és RDP protokollon keresztül elérhető rendszereket keresett.
A Sygnia nem tudta megállapítani, hogyan szerezték meg a támadók kezdetben a Cisco router feletti ellenőrzést. A megállapítások ezért nem bizonyítják, hogy a Fire Ant egy korábban ismeretlen IOS XR-sebezhetőséget használt volna ki.
A kezdeti hozzáféréshez potenciálisan ellopott hitelesítő adatokat, egy korábbi kompromittálást, egy másik megbízható felügyeleti rendszerrel való visszaélést vagy egy még nem jelentett szoftverhibát is felhasználhattak.
A közzétett vizsgálat egyetlen konkrét Cisco-sebezhetőséget sem azonosított a behatolás kiindulópontjaként.
A routerbe történő bejutást követően a Fire Ant kifejezetten az IOS XR környezethez tervezett kártevőt telepített. Nem egy hálózati eszközre egyszerűen átmásolt, általános Linux-kártevőről volt szó. Az összetevők a router parancsvégrehajtáshoz, naplózáshoz, hitelesítéshez, útválasztáshoz és felügyelethez kapcsolódó funkcióival is együttműködtek.
Ez a specializáció lehetővé tette, hogy a támadó módosítsa az adminisztrátorok által látható információkat, miközben a router továbbra is ellátta legitim hálózati feladatait.
A kártevő manipulálta a naplókat és az adminisztrátori parancsokat
Az egyik implantátum egy módosított rendszerkönyvtárat tartalmazott, amely megvizsgálta a kimenő naplóüzeneteket. A „Health” szót tartalmazó üzeneteket továbbengedte, a többit viszont elnyomta, jelentősen csökkentve az eszköz által a védelmi szakemberek számára biztosított láthatóságot.
Egy másik összetevő az IOS XR által használt parancsvégrehajtási útvonalat módosította. Amikor az adminisztrátorok bizonyos „show” parancsokkal próbálták megvizsgálni a routert, a kártevő észrevétlenül egy kizárási szűrőt illesztett a kéréshez. A módosított kimenet elrejtette a rosszindulatú alagutat és a kapcsolódó konfigurációs adatokat.
A router így látszólag legitim, valójában azonban hiányos válaszokat adhatott az azt vizsgáló adminisztrátoroknak.
A parancskimenet ilyen manipulálása különösen veszélyes, mivel az infrastruktúráért felelős csapatok rendszerint közvetlenül a hálózati eszközöktől kapott információkra támaszkodnak. Ha a támadó egyszerre ellenőrzi az alapul szolgáló rendszert és a vizsgálatához használt felületet, egy szokványos konfiguráció-ellenőrzés tévesen arra a következtetésre vezethet, hogy az eszköz tiszta.
A Fire Ant az SNMP-trapeket, a hitelesítési tevékenységeket és a router más telemetriai adatait is elnyomta. Ezek az intézkedések együttesen több, egymástól független bizonyítékforrást gyengítettek meg, és megnehezítették annak rekonstruálását, hogy mikor kezdődött a kompromittálás, milyen konfigurációs változtatások történtek, és mely adminisztrátori identitásokat használták.
Az eset a hálózati eszközöket érintő incidenskezelés általánosabb problémájára is rávilágít: egy gyanús rendszer által létrehozott naplókat nem szabad automatikusan hitelesnek tekinteni. Az operációs környezet módosítása után a támadó képes lehet kiszűrni, meghamisítani vagy törölni a rendszer bejegyzéseit.
A routereket csomagrögzítésre használták
A Fire Ant több Cisco-eszközön készített hálózati csomagrögzítéseket, majd a fájlokat külső FTP-infrastruktúrára továbbította. Úgy tűnt, hogy legalább az egyik fogadó FTP-kiszolgálót ugyanazon a napon telepítették, amikor a csomagrögzítéseket feltöltötték rá. Ez arra utal, hogy az infrastruktúrát kifejezetten ehhez a művelethez hozhatták létre.
A csomagrögzítések a hálózati topológiánál lényegesen több információt fedhetnek fel. Az alkalmazott protokolloktól és a rögzítés helyétől függően hitelesítési adatcseréket, titkosítatlan alkalmazástartalmat, felügyeleti munkameneteket, belső címeket és a későbbi oldalirányú mozgást támogató információkat is tartalmazhatnak.
A kompromittálás előnyös adatgyűjtési pontot biztosított a Fire Ant számára, mivel a routerek látják a rendszerek és a biztonsági zónák között áthaladó forgalmat. Egy végpontot ellenőrző támadó általában az adott gép számára elérhető tevékenységet látja. A routert ellenőrző szereplő ezzel szemben számos rendszer kommunikációját figyelheti meg anélkül, hogy mindegyikre külön kártevőt telepítene.
A technika hasonlít egy másik, Kínához köthető és a Salt Typhoon csoportnak tulajdonított kampány módszerére, amelyet egy 2025-ben kiadott, több ország által közösen jegyzett figyelmeztetés ismertetett. Abban a műveletben a támadók a kompromittált routerek legitim csomagrögzítési funkcióit használták RADIUS- és TACACS+-hitelesítési forgalom gyűjtésére, valamint adminisztrátori hitelesítő adatok megszerzésére. A CISA vezetésével kiadott figyelmeztetés szerint kínai állami támogatású támadók kompromittált útválasztási infrastruktúrán keresztül tartottak fenn hosszú távú hozzáférést távközlési és más kritikus hálózatokhoz.
A taktikai hasonlóságok ellenére a Fire Ant csoportot nem szabad automatikusan azonosítani a Salt Typhoonnal. A Mandiant korábban közölte, hogy nem talált olyan technikai átfedést, amely összekapcsolná az UNC3886-ot a Salt Typhoon vagy Volt Typhoon néven követett műveletekkel. Több kínai kémcsoport is alkalmazhat hasonló, infrastruktúrára összpontosító módszereket anélkül, hogy ugyanahhoz a műveleti egységhez tartoznának.
A TacTap adminisztrátori hitelesítő adatokat fogott el
A támadók egy TACACS+ kiszolgálót is kompromittáltak. A szervezetek ilyen rendszerekkel központilag hitelesítik a routerekhez, switchekhez és más hálózati eszközökhöz hozzáférő adminisztrátorokat.
Mivel a TACACS+ infrastruktúra az identitáskezelés egyik kritikus csomópontján helyezkedik el, a hozzáférés számos nagy értékű eszközhöz tartozó hitelesítő adatot biztosíthat. A kompromittálás azokat az elszámolási és naplózási adatokat is megbízhatatlanná teheti, amelyek célja annak dokumentálása, hogy egy adott műveletet melyik adminisztrátor hajtott végre.
A Sygnia egy korábban nem dokumentált hitelesítőadat-gyűjtő keretrendszert fedezett fel, amelyet TacTap néven nevezett el. A /usr/sbin/acppid elérési úton tárolt injektáló komponens egy /lib/libseconfd.so nevű rosszindulatú programkönyvtárat illesztett a legitim tac_plus hitelesítési folyamatba.
Az injektált programkönyvtár hookolta, vagyis eltérítette az új hálózati kapcsolatok fogadásáért felelős függvényeket. Ezután egy helyi Unix socketen keresztül továbbította az aktív munkamenetek kezelőit egy második rosszindulatú folyamatnak. A támadó így a legitim TACACS+ szolgáltatáson belülről figyelhette meg a hitelesítési tevékenységet, és nem kellett kizárólag külső hálózati csomaglehallgatásra támaszkodnia.
A begyűjtött hitelesítő adatokat a /var/log/.tacplus.acct elérési úton található rejtett fájlban tárolták. A tartalmat egybájtos XOR-művelettel, a 0xEF kulcs használatával obfuszkálták. Ez a módszer elriaszthatta a felületes ellenőrzést végző személyeket, érdemi kriptográfiai védelmet azonban nem biztosított.
A Sygnia közlése szerint korábban nem találkozott ennek a konkrét programkönyvtár-injektálási és munkamenet-átadási módszernek a nyilvános ismertetésével.
Az általános cél összhangban áll a Mandiant által dokumentált korábbi UNC3886-tevékenységgel. A kutatók 2024-ben ismertették a LOOKOVER nevű kártevőt, amelyet rögzített TACACS+-hitelesítési forgalom feldolgozására és visszafejtésére terveztek. A fenyegetési szereplő egy legitim tac_plus démont is olyan backdooros változatra cserélt, amely képes volt a hitelesítő adatok rögzítésére. A Mandiant kutatása megmutatta, hogyan célozta a csoport a hálózati hitelesítési infrastruktúrát azért, hogy a korábban kompromittált rendszereken túlra is kiterjessze hozzáférését.
A Cisco ma már elavultnak minősíti az MD5-alapú obfuszkációt alkalmazó régebbi TACACS+-megvalósításokat, és – ahol azt a platform támogatja – a TLS 1.3-on keresztüli TACACS+ használatát javasolja. A vállalat IOS XR hardening útmutatója szerint a TLS-védelemmel ellátott változat támogatása az IOS XR 25.3.1 verzióval kezdődik.
A titkosítás megvédheti a hitelesítő adatokat a passzív hálózati lehallgatástól, de nem old meg minden, a Fire Ant által bemutatott problémát. Ha magát a hitelesítési kiszolgálót kompromittálták, és a rosszindulatú kód a legitim szolgáltatáson belül fut, a hitelesítő adatokat a titkosítás előtt vagy a visszafejtés után is rögzíteni lehet.
A BridgeAgent álcázott parancsnoki csatornát biztosított
A nyomozók egy másik, korábban nem dokumentált implantátumot is találtak a rosszindulatú GRE-alagúthoz kapcsolódó Linux-rendszeren. A Sygnia BridgeAgent néven nevezte el a kártevőt.
A BridgeAgent Zabbix felügyeleti komponensnek álcázta magát, és egy zabbix_agent.service systemd-egységen keresztül biztosított magának tartós jelenlétet. A szolgáltatás root jogosultsággal futott, és automatikus újraindításra volt beállítva, ami segített a kártevőnek túlélni a szolgáltatás megszakadását és a rendszer újraindítását.
Az implantátum /usr/bin/gnome-shell folyamatnak álcázta magát, a titkosított konfigurációs adatokat pedig az /opt/.ICEauthority fájlban tárolta. A támadó által ellenőrzött infrastruktúrával a 443-as porton, TLS használatával kommunikált, így a parancsforgalom szokványos titkosított webes kommunikációnak tűnhetett.
A BridgeAgent rendszeresen utasításokat kért le, és reverse shell kapcsolatot is létrehozhatott, interaktív csatornát biztosítva a Fire Ant számára a kompromittált környezethez.
A felügyeleti agent identitásának használata jól illeszkedett egy menedzsmenthálózathoz, ahol a Zabbixhoz kapcsolódó szolgáltatások és kimenő kapcsolatok nem feltétlenül tűnnek azonnal gyanúsnak. A módszer a kampány egyik visszatérő jellemzőjét tükrözi: a kártevők nevét és elhelyezését úgy választották meg, hogy azok beleolvadjanak az érintett rendszer megszokott működési környezetébe.
Több backdoor biztosította a tartós és ellenálló hozzáférést
A Fire Ant nem egyetlen implantátumra támaszkodott. A Linux-alapú felügyeleti infrastruktúrában rootkitek, SSH-backdoorok és speciális hálózati csomagokkal aktiválható hozzáférési mechanizmusok többrétegű rendszerét telepítette.
Egyes összetevők a nyílt forráskódú Medusa és REPTILE rootkitekhez kapcsolódtak. Más backdoorokat az SSH-hozzáféréshez igazítottak, vagy úgy terveztek meg, hogy csak különlegesen kialakított hálózati forgalom fogadása után aktiválódjanak.
A fenyegetési szereplő átnevezte a rosszindulatú futtatható állományokat és manipulálta az időbélyegeket, hogy úgy tűnjön, mintha a fájlok legitim SentinelOne vagy Cybereason végpontbiztonsági szoftverekhez tartoznának. Egy gyors könyvtár- vagy folyamatellenőrzést végző adminisztrátor emiatt védelmi eszköznek nézhette a kártevőt.
Több összetevőt eredetileg 2025-ben telepítettek, és ezek még akkor is használhatók voltak, amikor a támadó 2026-ban visszatért aktív műveletek végrehajtására. Ez a tartósság azt mutatja, hogy a kompromittált Linux felügyeleti gépeket nem eldobható belépési pontként, hanem hosszú távon használható műveleti állomásként kezelték.
Legalább egy esetben a backdoor a memóriában azután is tovább futott, hogy a végrehajtható állományát törölték a lemezről. Önmagában a fájlalapú vizsgálat ezért nem lett volna elegendő annak megállapításához, hogy a rendszer tiszta.
A /var/tmp/ping elérési úton tárolt, csomaggal aktiválható backdoor több TCP- és UDP-kombinációt figyelt, köztük a 443-as, az 541-es, a 8443-as és a 10443-as TCP-portot. A kártevőt az sxcdewqaz!@# karaktersorozattal lehetett aktiválni. Mivel ehhez a kialakításhoz nem volt szükség folyamatosan figyelő alkalmazásszolgáltatásra, olyan további hozzáférési útvonalat biztosított, amely mindaddig inaktív maradhatott, amíg a támadó el nem küldte a megfelelő aktiváló csomagot.
Egy másik, /var/tmp/audit elérési úton található összetevő a VMware Virtual Machine Communication Interface, vagyis VMCI használatával kommunikált. A VMCI-kommunikáció a hagyományos hálózati útvonalak használata nélkül teremthet kapcsolatot a vendégrendszerek és a hypervisorok között. Ez különösen értékessé teszi egy olyan támadó számára, amely megpróbálja elkerülni a hálózatalapú észlelést.
A Fire Ant megpróbálta eltüntetni a nyomozás bizonyítékait
A művelet nyomeltüntető tevékenysége nem korlátozódott a Cisco routerekre.
A támadó a Linux-rendszereken letiltotta vagy meggyengítette a SELinux védelmét, eltávolította a privilegizált parancsok nyomait, és átírta a bejelentkezési előzményeket tároló adatbázisokat. A kompromittált routerre utaló hivatkozásokat többek között a wtmp, utmp és btmp fájlokban is lecserélték, a sudo-bejegyzéseket pedig eltávolították a /var/log/messages és /var/log/secure naplófájlokból.
A támadók használat után törölték eszközeiket, manipulálták az időbélyegeket, és olyan implantátumokat tartottak fenn, amelyek kizárólag a memóriában folytatták működésüket.
A tevékenység összességében a bizonyítékok négy rétegét célozta: a hálózati eszközök naplóit, a hitelesítési nyilvántartásokat, a gazdagépek naplóit és a parancsok látható kimenetét. Az a védelmi szakember, aki e források közül csak az egyikre támaszkodott, hiányos vagy téves következtetésre juthatott.
Éppen ezért a kampány jelentősége túlmutat egy hagyományos routerfeltörésen. A Fire Ant egyszerre próbálta megszerezni az infrastruktúra, valamint a szervezet infrastruktúrát megfigyelő képessége feletti ellenőrzést.
A hypervisoroktól a hálózati vezérlési síkig
A Sygnia először 2025-ben számolt be nyilvánosan a Fire Ant csoportról egy VMware ESXi- és vCenter-rendszereket érintő vizsgálatot követően. A korábbi kampány bemutatta, hogyan használhatják fel a támadók a hypervisorszintű hozzáférést arra, hogy számos végpontészlelő rendszer látóköre alatt működjenek, illetve olyan csatornákon kommunikáljanak a virtuális gépekkel, amelyek nem feltétlenül jelennek meg a szokásos hálózati telemetriában.
A legfrissebb megállapítások szerint a fenyegetési szereplő ugyanezt a stratégiai modellt kiterjesztette az útválasztási, identitáskezelési és felügyeleti infrastruktúrára is.
A hypervisorok ellenőrzést biztosítanak a rajtuk futó munkaterhelések felett. A routerek szabályozzák az elérhetőséget és látják a forgalmat. A TACACS+ kiszolgálók közvetítik az adminisztrátori identitásokat. A jump hostok és felügyeleti kiszolgálók hozzáférést biztosítanak az egyébként korlátozott rendszerekhez. Ha ezeket az eszközöket egyszerre kompromittálják, a támadó rendkívül hatékonyan egyesítheti a széles körű rálátást, a hitelesítő adatokat és a tartós hozzáférést.
A közvetlen áldozat más szervezetekhez vezető, akaratán kívüli híddá is válhat. A menedzselt szolgáltatási kapcsolatok, privát összeköttetések, adminisztratív bizalmi kapcsolatok és összekapcsolt üzemi hálózatok olyan rendszereket tehetnek elérhetővé, amelyeket a nyilvános internetről közvetlenül nem lehet megközelíteni.
Ez teremti meg a Sygnia által „a célpont mögötti célpontnak” nevezett problémát: a kompromittált szervezet nemcsak saját információi miatt lehet értékes, hanem az általa fenntartott megbízható kapcsolatok miatt is.
Mit tehetnek a védekező szervezetek?
A Cisco IOS XR-eszközöket üzemeltető szervezeteknek nem szabad egy router sértetlenségének bizonyítékaként értelmezniük azt, ha nem látnak konfigurációs változtatást. A Fire Ant kártevője kifejezetten manipulálta a parancskimenetet, és elnyomta azokat a bejegyzéseket, amelyek felfedhették volna a tevékenységét.
A gyanús eszközöket körültekintően el kell különíteni, és nem szabad azonnal újraindítani őket. A Cisco IOS XR forenzikus eljárása arra figyelmeztet, hogy az újraindítás helyreállíthatatlanul megsemmisítheti az illékony bizonyítékokat, beleértve a memória tartalmát, az útválasztási és ARP-táblákat, a hálózati címfordítási adatokat, valamint a hozzáférés-vezérlési listák számlálóit.
A Cisco a futásidejű információk összegyűjtését, a folyamatok vizsgálatát, a fájlok sértetlenségének ellenőrzését, valamint indokolt esetben a core- vagy memóriaadatok megőrzését javasolja.
A biztonsági csapatoknak össze kell vetniük a router által jelentett állapotot a független források adataival. Ezek közé tartozhatnak a külső syslogrendszerek, a NetFlow- vagy csomagtelemetria, a konfigurációs biztonsági másolatok, a hitelesítési kiszolgálók és a szomszédos hálózati eszközök. A nyilvántartások közötti váratlan eltérések többet árulhatnak el, mint a router saját kimenete.
A védekező szakembereknek meg kell vizsgálniuk a TACACS+ kiszolgálókat jogosulatlan programkönyvtárak, injektált folyamatok, rejtett hitelesítőadat-fájlok és a legitim tac_plus szolgáltatás változtatásai után kutatva. A kompromittált hitelesítési rendszeren áthaladó hitelesítő adatokat kiszivárgottnak kell tekinteni és le kell cserélni, még akkor is, ha nincs egyértelmű bizonyíték a későbbi felhasználásukra.
Az incidenskezelésnek ki kell terjednie a hypervisorokra, a jump hostokra, a felügyeleti eszközökre és a hálózati infrastruktúrához kapcsolódó Linux-rendszerekre is. Egyetlen routerimplantátum eltávolítása nem számolja fel azt a fenyegetési szereplőt, amely a kapcsolódó rendszereken SSH-backdoorokat, rootkiteket, VMCI-csatornákat és hálózati csomagokkal aktiválható hozzáférési mechanizmusokat is létrehozott.
A Cisco hardening útmutatója a felügyeleti, vezérlési és adatsík külön-külön történő védelmét, a menedzsment-hozzáférés korlátozását, biztonságos távoli naplózás használatát, az elavult protokolloktól való függőség csökkentését, valamint az adminisztrátori hitelesítési forgalom védelmét javasolja. Ezek az intézkedések csökkenthetik a kitettséget, megerősített kompromittálás esetén azonban a szervezeteknek forenzikus ellenőrzésre, bizonyos esetekben pedig az érintett infrastruktúra megbízható forrásból történő újjáépítésére is szükségük lesz.
A Sygnia fájlhasheket, elérési utakat, YARA-szabályokat és további indikátorokat tett közzé a TacTap, a BridgeAgent, az IOS XR-implantátumok, a VMCI-kártevő és a csomaggal aktiválható Linux-backdoor azonosításához. A fejlett kémcsoportok azonban a nyilvánosságra hozatalt követően gyakran megváltoztatják a fájlneveket és a hashértékeket.
A viselkedésalapú jelek – például a megmagyarázhatatlan alagutak, az inkonzisztens parancskimenetek, a rendellenes folyamatinjektálás, a hiányzó hitelesítési bejegyzések, valamint a helyi és távoli telemetria közötti eltérések – ezért hosszabb ideig maradhatnak használhatók az egyedi fájlindikátoroknál.
A Fire Ant vizsgálata végül egy kellemetlen valóságra világít rá a vállalati védelmi szakemberek számára: egy kifinomult kompromittálás után éppen azok a rendszerek válhatnak a megbízható bizonyítékok biztosítására legkevésbé alkalmassá, amelyekben a szervezet a kapcsolatok létrehozása, az adminisztrátorok hitelesítése és a működés felügyelete során a leginkább megbízik.
