Piero Bosio Social Web Site Personale

Si parla di:ToggleNon è più il classico attacco APT che ruba credenziali e sparisce. Fire Ant, gruppo di cyberspionaggio legato alla Cina, ha trasformato router Cisco IOS XR, server di autenticazione TACACS e host Linux di management in una piattaforma di sorveglianza permanente, capace di intercettare traffico, credenziali e comandi amministrativi senza mai toccare i sistemi finali che interessano davvero. Una ricerca pubblicata da Sygnia il 27 agosto 2026 ricostruisce una campagna che ribalta la logica difensiva tradizionale: il vero bersaglio non è la macchina compromessa, ma tutto ciò a cui quella macchina può arrivare.Da UNC3886 agli hypervisor, fino all’infrastruttura di reteFire Ant non è un nome nuovo. Nel luglio 2025 Sygnia aveva già documentato le sue intrusioni contro ambienti VMware ESXi e vCenter, con l’obiettivo di ottenere accesso persistente agli hypervisor per motivi di spionaggio. I ricercatori segnalano oggi una “forte sovrapposizione” tra Fire Ant e UNC3886, il cluster China-nexus tracciato pubblicamente da Google Mandiant e già associato a intrusioni negli hypervisor di infrastrutture critiche occidentali. Nel 2026 l’attore ha ampliato il proprio raggio d’azione, spostandosi dai singoli sistemi virtualizzati verso gli strati di infrastruttura che ne controllano la connettività: router di frontiera, server di autenticazione e host Linux di gestione. Una strategia che gli analisti definiscono “target behind the target”: compromettere il nodo che decide chi può raggiungere cosa, per poi usarlo come ponte verso reti connesse di maggior valore, incluse infrastrutture critiche raggiungibili tramite relazioni di fiducia tra sistemi.Router Cisco IOS XR trasformati in nodi di raccoltaSui router Cisco IOS XR, Fire Ant non ha usato tool generici da sistema Linux, ma malware costruito appositamente per il control plane del dispositivo. Un finto script di servizio in /etc/rc.d/init.d/grub-rommon garantiva la persistenza, mentre l’impianto principale /usr/bin/acpid veniva eseguito solo nelle ore dispari, per ridurre la probabilità di essere notato durante controlli di routine. Una libreria syslog modificata filtrava selettivamente i messaggi: solo quelli contenenti la stringa “Health” venivano inoltrati, tutti gli altri scartati silenziosamente. Un componente separato, /pkg/bin/hd, intercettava i comandi CLI degli amministratori e aggiungeva filtri | exclude prima ancora della loro esecuzione, nascondendo così la configurazione del tunnel agli occhi di chi indagava. La comunicazione con l’esterno passava per /pkg/bin/dhcpd_show_issu_status, che sfruttava le librerie di routing native di IOS XR (VRF, RIB, funzioni Telnet-management) verso un indirizzo C2 hardcoded. Gli investigatori hanno inoltre scoperto un’interfaccia tunnel GRE priva di qualunque documentazione di configurazione, collegata a un vecchio sistema Linux che eseguiva BridgeAgent, un impianto travestito da agente Zabbix (zabbix_agent invece del legittimo zabbix_agentd), persistente via systemd e con configurazione cifrata in AES salvata in /opt/.ICEauthority. Da più router compromessi, Fire Ant ha inoltre estratto file PCAP del traffico di rete, caricandoli su server FTP esterni preparati lo stesso giorno dell’attività di upload — segno di una pianificazione operativa non improvvisata.TacTap: la prima intercettazione pubblicamente documentata su TACACSIl colpo più significativo, secondo Sygnia, riguarda i server TACACS, il collo di bottiglia amministrativo che autentica gli utenti, autorizza i comandi e registra le attività su tutti i dispositivi di rete. Il toolset TacTap funziona in tre fasi: l’iniettore /usr/sbin/acppid localizza il processo tac_plus, scrive una libreria condivisa malevola in /lib/libseconfd.so e ne avvia l’iniezione, cancellando poi la libreria dal disco. Questa libreria aggancia le funzioni accept e accept4 del servizio TACACS, intercetta le nuove connessioni client in arrivo e ne inoltra i file descriptor ad acppid tramite un socket Unix (/var/run/acpid.lock), usando la tecnica del file-descriptor passing. Le credenziali intercettate finiscono in /var/log/.tacplus.acct, offuscate con un semplice XOR a byte singolo (chiave 0xEF). Sygnia sottolinea che questa specifica tecnica di iniezione su tac_plus non era mai stata documentata pubblicamente prima d’ora: compromettere l’infrastruttura di autenticazione permette di raccogliere credenziali durante l’uso legittimo, osservare l’attività amministrativa e rendere quasi impossibile distinguere un accesso genuino da uno malevolo.Host Linux come nodi di tunneling e manipolazione dei logSugli host Linux di management, Fire Ant ha riutilizzato nel 2026 un’infrastruttura di accesso costruita già nel 2025: componenti rootkit in stile Medusa nascosti in /usr/lib/locate, backdoor SSH personalizzate travestite da demoni legittimi (/usr/sbin/cupsdd per CUPS, /usr/sbin/smartdd per smartmontools) e raccolta di credenziali SSH in /var/log/remote.txt. Un binario inizialmente collocato come /var/tmp/ping, poi rinominato per impersonare agenti di sicurezza come SentinelOne e Cybereason, fungeva da backdoor attivabile con pacchetti appositi su porte TCP 443, 541, 8443, 10443 e UDP 500, con marcatori di avvio e chiusura ripresi dal rootkit REPTILE già noto pubblicamente. Per coprire le tracce, gli attaccanti hanno indebolito o disabilitato SELinux, modificato le regole iptables per reindirizzare il traffico dalla porta 22 alla 443, riscritto gli IP negli utmp/wtmp/btmp e rimosso le voci relative a comandi sudo da /var/log/messages e /var/log/secure. Il risultato, scrivono i ricercatori, è che nessuna singola fonte di log può più essere considerata affidabile: la validazione ha richiesto il confronto incrociato tra memoria, disco, telemetria di rete, log di autenticazione e stato delle configurazioni.Cosa devono fare i difensoriTrattare router, hypervisor, server TACACS e jump host come asset di sicurezza di prima classe, con lo stesso livello di monitoraggio riservato a endpoint e server applicativiValidare tunnel GRE, flussi di autenticazione e modifiche di routing contro fonti di evidenza indipendenti, non contro i soli log di sistemaPrevedere metodi di autenticazione alternativi, non dipendenti da un’infrastruttura TACACS potenzialmente compromessaDare priorità alla caccia comportamentale (pattern di abuso dell’infrastruttura, raccolta anomala di credenziali) rispetto ai soli indicatori atomici, facilmente sostituibili dall’attaccanteMonitorare connessioni infrastruttura-infrastruttura inattese, in particolare tentativi di tunneling verso reti esterne connesseLa lezione più ampia di Fire Ant riguarda il perimetro stesso della difesa: non basta proteggere i carichi di lavoro aziendali se i router, i server di autenticazione e gli host di gestione che ne decidono la raggiungibilità restano trattati come infrastruttura invisibile. È esattamente lì che un attore state-sponsored con obiettivi di lungo periodo sceglie di annidarsi.Indicatori di compromissioneFile / persistenza: /etc/rc.d/init.d/grub-rommon /usr/bin/acpid (IOS XR) - SHA1: be6b27f429324a4af05a310d8ec9635e37c68a94 /pkg/bin/dhcpd_show_issu_status - SHA1: 1682b652a15bde732489f22809b0b7594c228fd3 /pkg/bin/hd - SHA1: b149fa3a34bd585e7a674a4fd9538437bd06f514 /usr/sbin/acppid (TacTap injector) - SHA1: 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00 /lib/libseconfd.so (TacTap library) - SHA1: 955cd45a2f6f226a2fdf44b329af1c8dde90cb38 /var/log/.tacplus.acct (credenziali XOR 0xEF) /var/run/acpid.lock (socket Unix per FD passing) /usr/sbin/cupsdd - SHA1: 1aa6ab2006b5d9199aa87bb0bbd995aec698ac4f /usr/sbin/smartdd - SHA1: c164bfc953c66e58b11fc280e69fd43b8f255839 /bin/atd - SHA1: c164bfc953c66e58b11fc280e69fd43b8f255839 /var/tmp/ping (REPTILE-like) - SHA1: 5ba1242050b5b447052b210788a5a25593d6987d /var/tmp/audit (backdoor VMCI/VSOCK) - SHA1: 13f0c2a598e3aa63856c032a96b110aed963f0e8 /opt/.ICEauthority (config cifrata BridgeAgent) /var/log/remote.txt (credenziali SSH raccolte) Servizio systemd fake: zabbix_agent.service (legittimo: zabbix_agentd) Marker REPTILE-like: start "sxcdewqaz!@#" / kill "hpaVAj2FJ" Porte trigger backdoor: TCP 443, 541, 8443, 10443 - UDP src 40443 verso dst 500Fonte principale: Sygnia, “Fire Ant Evolves: From Hypervisors to Trusted Infrastructure”, 27 agosto 2026.

Si parla di:ToggleI ricercatori di XLab (Qianxin) hanno scoperto AryStinger, una botnet precedentemente sconosciuta che ha compromesso oltre 4.000 router obsoleti in tutto il mondo, trasformandoli in proxy silenziosi al servizio di attori malevoli. A differenza delle classiche botnet DDoS, AryStinger è progettata per il ricognizione e il supporto alle intrusioni — un’infrastruttura invisibile concepita per penetrare reti aziendali e governative.Scoperta e timeline dell’operazioneIl 12 marzo 2026, il sistema di threat awareness di XLab ha rilevato l’indirizzo IP 107.150.106.14 che diffondeva un campione ELF con zero detection su VirusTotal, sfruttando due vulnerabilità datate: CVE-2013-3307 e CVE-2016-5681. Il campione, implementato in C, prendeva di mira router D-Link DIR-850L e DIR-818LW — dispositivi giunti a fine vita, privi di patch e ancora ampiamente diffusi in ambito SOHO.Il 26 aprile è comparso un secondo campione correlato, questa volta scritto in Go e rivolto a dispositivi NAS, sfruttando CVE-2025-11837. Il percorso nel codice sorgente del campione Go rivela il nome del progetto interno: Ary-Attack — un dettaglio che ha consentito ai ricercatori di attribuire le due famiglie alla stessa operazione.Architettura e capacità operativeAryStinger converte i dispositivi infetti in “executor” telecomandati, capaci di eseguire un insieme ricco di operazioni su richiesta del C2:Scansione di rete: port scanning, identificazione dei servizi, enumerazione di sottodomini — attività tipiche della fase di ricognizione pre-intrusione.Proxying e tunneling: il device infetto instrada traffico malevolo verso destinazioni terze, mascherando l’origine reale dell’attaccante.Esecuzione di comandi arbitrari sul sistema.Modifiche DNS: la botnet può alterare le configurazioni DNS del router per intercettare il traffico web degli utenti connessi.Payload multi-linguaggio: supporta l’iniezione di payload scritti in Go, Java e Python, garantendo flessibilità operativa.Canali di accesso persistente via dropbear (SSH) o gs-netcat.Le comunicazioni con il server di comando e controllo avvengono via HTTP/HTTPS, con traffico serializzato tramite Protobuf e cifrato con XOR — una scelta che garantisce compattezza e una certa difficoltà nell’ispezione del traffico.Distribuzione geografica e targetLa telemetria di Qianxin mostra che la distribuzione delle infezioni è geograficamente concentrata: Corea del Sud (48,5%), Cina (31,8%), Svezia (6,4%), Malesia (3,5%) e Singapore (2,5%). La forte prevalenza asiatica suggerisce che il deployment iniziale sia stato mirato su mercati dove i router D-Link di fascia bassa hanno avuto larga diffusione e dove la sostituzione dei dispositivi a fine vita avviene con ritardi.Il targeting di NAS oltre ai router nella seconda fase dell’operazione indica un’evoluzione verso dispositivi con maggiore capacità di elaborazione e connettività persistente — ideali per operazioni di lunga durata che richiedono stabilità dell’infrastruttura proxy.Perché AryStinger è diversa dalle botnet tradizionaliLa distinzione fondamentale di AryStinger rispetto a botnet come Mirai o AISURU è l’obiettivo operativo: non DDoS né mining di criptovalute, bensì la costruzione di un’infrastruttura di intrusione distribuita. I dispositivi compromessi diventano nodi di una rete di proxy residenziali che conferiscono agli attaccanti un’anonimizzazione difficile da penetrare: il traffico malevolo emerge da indirizzi IP domestici o di piccola impresa, superando spesso i blocchi basati su reputazione IP.Questo modello operativo è tipico di gruppi APT che necessitano di infrastrutture di staging durante la fase di ricognizione e di pivoting nelle reti bersaglio. La capacità di modificare le configurazioni DNS aggiunge una dimensione ulteriore: chi usa un router infetto espone tutte le proprie comunicazioni a potenziale intercettazione.Indicatori di compromissione (IoC)# IP di spreading iniziale 107.150.106.14 # Dominio C2 autenticazione eixfi.ajb8.com (/auth endpoint) # CVE sfruttate CVE-2013-3307 (D-Link DIR-850L - autenticazione bypassata) CVE-2016-5681 (D-Link DIR-818LW - esecuzione remota di codice) CVE-2025-11837 (dispositivi NAS - variante Go) # Processi sospetti da verificare sul dispositivo syswapd0h syswapd0w # Percorso da verificare /tmp/bin/ (presenza di campioni malware) # Nome progetto interno (da path nel codice Go) Ary-AttackDue righe per i difensoriPer chi gestisce reti con dispositivi edge, le azioni prioritarie sono: sostituire immediatamente i router D-Link DIR-850L e DIR-818LW con modelli supportati e aggiornati; applicare gli aggiornamenti firmware più recenti su tutti i dispositivi di rete perimetrali; modificare le credenziali amministrative di default; disabilitare le interfacce di gestione remota se non strettamente necessarie. A livello di monitoraggio, è opportuno inserire il dominio eixfi.ajb8.com e l’IP 107.150.106.14 nelle blocklist e verificare nei log di rete la presenza di connessioni Protobuf verso host sconosciuti su porte non standard.La scoperta di AryStinger conferma una tendenza consolidata: i dispositivi IoT e i router SOHO a fine vita restano un vettore di attacco privilegiato per costruire infrastrutture di intrusione persistenti e difficili da attribuire. La prossima botnet potrebbe già essere nascosta nel router del vostro operatore ISP locale.

Still a WIP, but I’m trying to consolidate all my basic OpenBSD guides into one place: https://openbased.xyz/Right now it just covers basic desktop and rehashing my router setup. Plan to add more use cases as I tinker with things myself 😛#openbsd #web #router

Pensavi che il tuo vicino non potesse vedere le foto delle vacanze? Abbiamo una brutta notizia per te📌 Link all'articolo : https://www.redhotcyber.com/post/pensavi-che-il-tuo-vicino-non-potesse-vedere-le-foto-delle-vacanze-abbiamo-una-brutta-notizia-per-te/#redhotcyber #news #cybersecurity #hacking #wifi #vulnerabilita #router #maninthemiddle #sicurezzainformatica

Vulnerabilità critica nei router DSL D-Link: migliaia di dispositivi a rischio📌 Link all'articolo : https://www.redhotcyber.com/post/vulnerabilita-critica-nei-router-dsl-d-link-migliaia-di-dispositivi-a-rischio/#redhotcyber #news #cybersecurity #hacking #vulnerabilita #dlink #router #sicurezzainformatica #cves