중국 연계 Fire Ant, Cisco 라우터 장악해 계정 탈취·보안 로그 무력화

중국과 연계된 사이버 첩보 행위자 Fire Ant가 VMware 하이퍼바이저를 넘어 Cisco IOS XR 라우터, TACACS(Terminal Access Controller Access-Control System) 서버, 그리고 고가치 네트워크를 라우팅·인증·관리하는 Linux 관리 호스트까지 침해 범위를 확장한 장기 캠페인을 전개했다.

침해 사고를 조사한 인시던트 대응 전문 회사 Sygnia는 공격자가 침해된 라우터를 수집 플랫폼으로 전환해 네트워크 트래픽을 도청하고, 계정 정보를 탈취하며, 방어자가 공격을 재구성하는 데 필요한 로깅 및 텔레메트리를 억제했다고 밝혔다.

Sygnia는 해킹 그룹이 확보한 거점을 바탕으로 핵심 인프라를 포함한 연결된 고가치 환경으로의 침투 경로를 탐색했다고 평가했다. 다만 해당 네트워크에 대한 활동은 스캔과 연결 시도에 그쳤으며, 실제 침해가 확인되지는 않았다.

라우터를 장악함으로써 공격자는 신뢰 네트워크 경로를 오가는 트래픽을 한눈에 조망하는 시점을 확보했다고 Sygnia는 설명했다.

"이 활동은 조사의 핵심 관찰 중 하나를 재확인해준다. 위협 행위자가 라우터를 장악하면 단순히 도달 범위만 얻는 것이 아니라, 관점을 얻는다"고 회사는 밝혔다.

Sygnia는 이번 활동이 가상화 플랫폼과 네트워크 엣지 장비를 표적으로 삼는 것으로 알려진 중국 연계 첩보 그룹 UNC3886의 공개 보고와 강하게 겹친다고 평가했으나, 보고서에서 확정적인 귀속 판단은 내리지 않는다고 밝혔다.

UNC3886을 처음 문서화한 Mandiant는 이 그룹과 별도의 중국 작전인 Salt Typhoon 및 Volt Typhoon 사이에 기술적 중복점은 없다고 밝힌 바 있다.

2026년의 이번 활동은 Sygnia가 2025년 7월에 공개한 Fire Ant 보고서에 이어진 것으로, 당시 보고서는 그룹이 VMware ESXi 및 vCenter 환경을 악용한 후 네트워크 및 관리 계층으로 이동한 사실을 상세히 기술했다.

조사는 Cisco IOS XR 라우터의 이상 징후에서 시작됐다. GRE(Generic Routing Encapsulation) 터널 인터페이스가 생성 경위를 설명하는 실행 중인 설정이나 커밋 이력 없이 동작하고 있었던 것이다. Sygnia는 공격자가 라우터에 최초로 어떻게 접근했는지는 파악하지 못했다.

터널을 추적한 결과 수사관들은 레거시 Linux 시스템을 발견했으며, Fire Ant는 이 시스템에서 SSH, HTTP, SMB, RDP 등 연결된 네트워크의 관리 및 서비스 포트를 대상으로 반복적인 연결 시도와 포트 탐지를 실행했다.

라우터 악성코드는 범용 Linux 어플라이언스가 아닌 IOS XR 제어 평면을 위해 특수 제작됐다. 한 컴포넌트는 수정된 시스템 라이브러리를 삽입해 발신되는 각 로그 메시지에서 Health 문자열을 검사하고, 해당 문자열이 있을 때만 메시지를 전달했다.

별도의 컴포넌트는 라우터의 명령 실행 경로를 변조해 show 명령에 | exclude 필터를 자동으로 추가함으로써, 장비를 점검하는 관리자에게 공격자의 터널 설정이 보이지 않도록 숨겼다.

Fire Ant는 이후 여러 Cisco 장비에서 라우터를 활용해 패킷 캡처(PCAP)를 수행했다. 수집된 패킷은 외부 FTP 서버로 업로드됐으며, 그 중 하나는 업로드가 이루어진 당일 설치된 것으로 보였다.

TACACS 서버에서는 Sygnia가 TacTap으로 추적하는 계정 수집 툴셋을 확인했다.

acppid라는 인젝터가 악성 라이브러리를 실행 중인 tac_plus 인증 프로세스에 로드했다. 이 라이브러리는 새 연결을 받는 함수에 훅을 걸고, 로컬 Unix 소켓을 통해 라이브 세션 핸들을 두 번째 프로세스로 전달했다.

탈취된 계정 정보는 /var/log/.tacplus.acct에 기록됐으며, XOR 키 0xEF로 가볍게 난독화됐다.

"우리가 알기로, 이 특정 tac_plus 라이브러리 인젝션 기법은 이전에 공개적으로 설명된 바 없으며, 이는 Fire Ant의 TACACS 중심 계정 탈취 기술이 주목할 만큼 진화했음을 보여준다"고 Sygnia는 밝혔다.

TACACS 서버에서의 계정 탈취는 이 클러스터의 기존 수법으로, Mandiant는 이전에 UNC3886이 LOOKOVER라는 TACACS+ 스니퍼를 배포하고 tac_plus 데몬을 계정 정보를 기록하는 백도어 버전으로 교체하는 것을 문서화한 바 있다.

Sygnia는 또한 새로운 두 번째 도구인 Linux 백도어 BridgeAgent를 발견했다. 이 백도어는 터널에 연결된 호스트에 배포됐으며 Zabbix 모니터링 에이전트로 위장했다.

해당 임플란트는 root 권한으로 실행되는 zabbix_agent.service systemd 유닛으로 지속성을 유지하고, 프로세스를 /usr/bin/gnome-shell로 위장했으며, TLS 포트 443을 통해 공격자 인프라에 폴링하며 명령과 리버스 셸 지시를 받았다.

Linux 관리 호스트 전반에서 Fire Ant는 오픈소스 Medusa 및 REPTILE 루트킷, 커스텀 SSH 백도어, SentinelOne 및 Cybereason 엔드포인트 보안 에이전트로 이름을 바꾸고 타임스탬프를 조작한 바이너리를 활용해 지속적인 접근 계층을 구축했다.

이러한 컴포넌트 중 일부는 2025년에 심어진 후 2026년의 직접 활동에 재사용됐다. 적어도 하나의 백도어는 파일이 디스크에서 삭제된 후에도 메모리에서 계속 실행됐다고 Sygnia는 밝혔다.

공격자는 라우터 로그, SNMP 트랩, 인증 요청 억제, Linux 호스트의 SELinux 비활성화, 로그인 이력 재작성, 시스템 로그에서 권한 명령 항목 삭제 등을 통해 증거 자체를 훼손하려 했다.

Sygnia는 라우터, TACACS 서버, 하이퍼바이저, 점프 호스트를 1급 포렌식 자산으로 취급해야 하며, 수사관은 단일 텔레메트리 소스가 아닌 메모리·디스크·네트워크·인증·설정 증거를 교차 검증해야 한다고 권고했다.

Sygnia가 공개한 침해지표(IoC)는 다음과 같다:

• TacTap: 인젝터 /usr/sbin/acppid (SHA1: 36005f5e4398a1c62a2a9271eddfcc1b44b1ad00), 인젝션된 라이브러리 /lib/libseconfd.so (955cd45a2f6f226a2fdf44b329af1c8dde90cb38), 계정 파일 /var/log/.tacplus.acct (XOR 키 0xEF로 복호화).
• BridgeAgent: zabbix_agent.service systemd 유닛을 통한 지속성, /opt/.ICEauthority의 암호화된 설정, TLS 포트 443을 통한 C2(명령·제어) 통신.
• IOS XR 임플란트: /usr/bin/acpid (be6b27f429324a4af05a310d8ec9635e37c68a94), /pkg/bin/dhcpd_show_issu_status (1682b652a15bde732489f22809b0b7594c228fd3), /pkg/bin/hd (b149fa3a34bd585e7a674a4fd9538437bd06f514), 지속성 스크립트 /etc/rc.d/init.d/grub-rommon.
• VMCI 백도어: /var/tmp/audit (13f0c2a598e3aa63856c032a96b110aed963f0e8), VMware VMCI(Virtual Machine Communication Interface) 소켓을 통한 통신.
• 패킷 트리거 백도어: /var/tmp/ping (5ba1242050b5b447052b210788a5a25593d6987d), TCP 포트 443·541·8443·10443 및 UDP 소스 포트 40443에서 목적지 포트 500으로 활성화되며, 트리거 문자열은 sxcdewqaz!@#.

전체 지표 세트와 YARA 규칙은 Sygnia 보고서에서 확인할 수 있다.

이번 활동은 CISA 주도의 합동 권고문이 Salt Typhoon에 귀속한 2025년 8월의 공격과 유사한 양상을 보인다. Salt Typhoon은 별도의 중국 첩보 클러스터로, 침해된 라우터에서 패킷 데이터를 캡처해 통신 네트워크 전반의 관리자 계정을 탈취한 것으로 알려져 있다.