Fire Ant: 중국 APT가 Cisco 라우터를 hijack하여 조용히 스파이 활동

그룹 Fire Ant, 중국 정보기관과 연계된 단체, 자격 증명 가로채기와 보안 로그 위조를 위해 Cisco 라우터를 침해. 몇 달 동안 지속될 수 있는 탐지하기 어려운 지속적인 감청 전략.

무엇

APT 그룹 Fire Ant(중국 정보기관으로 추정)은 오랫동안 지속된 스파이 캠페인을 확장하여 VMware 하이퍼바이저를 대상으로 하던 공격이 이제 Cisco IOS XR 라우터, TACACS 서버, 그리고 네트워크 라우팅·인증·관리를 담당하는 Linux 관리 호스트를 표적으로 삼고 있습니다. 두 가지 주요 목표: 네트워크 인증 정보 탈취와 보안 로그 은폐.

영향을 받는 대상

네트워크 경계(Cisco IOS XR, ASR, NCS 시리즈 등 캐리어급 라우터), TACACS+ 인증을 사용하는 조직, Linux 관리 워크스테이션 - 특히 정부, 국방, 통신, 중요 인프라 분야.

작동 방식

Fire Ant은 다음 취약점을 악용합니다:

1. 펌웨어 백도어 설치 - 재부팅 후에도 지속
2. 라우터 통과 트래픽 가로채기 - 평문 인증 정보, 토큰, VPN 세션, TACACS+ 인증 교환 등
3. 로그 위조 - 타임스탬프 수정, 삭제, 변조로 정상적인 연속성 유지
4. 피벗팅 - 장비의 특권 네트워크 접근을 통해 내부 네트워크 침투

타임스탬프 위조는 매우 정교합니다: 단순히 로그 삭제가 아니라 로그 일관성을 유지하는 재작성 방식입니다.

분석

이 캠페인은 지리적·기술적 확장을 의미합니다. Fire Ant은 VMware에 집중되어 있었으나, 물리적 네트워크 인프라(IOS XR, TACACS, Linux)로의 확장은 공격 ambition의 상승을 보여줍니다. 경계 라우터나 TACACS 서버를 장악하면 조직의 모든 트래픽과 인증에 접근할 수 있습니다.

장기적 지속 접근 전략입니다: 대규모 데이터 유출보다는 지속적인 감청 지점을 설치합니다. 조직은 몇 달간 침해당했을 수 있습니다. FBI는 2026년 7월 중국 그룹의 QTFY 인프라를 해체했으나 Fire Ant은 생존을 위한 방법론을 адап팅했습니다.

즉시 조치

• Cisco IOS XR 로그 무결성 감사 (아웃오브밴드 syslog 아카이브와 비교)
• IOS XR과 TACACS+ 서버를 최신 안정 버전으로 업데이트
• 인터넷 노출 관리 인터페이스(텔넷, 암호화되지 않은 HTTP) 비활성화
• 시스롭 로그를 즉시 외부 불변 SIEM으로 내보내기 - 이미 전송된 로그는 후속 위조 불가
• 국가 CERT에서 공개한 Fire Ant IOC 확인