Os seus routers Cisco podem estar a espiar a rede — e a apagar as provas

A empresa de resposta a incidentes Sygnia divulgou uma nova investigação sobre o grupo de ciberespionagem que designa por Fire Ant, associado à China, e que deixou de se concentrar apenas em hipervisores de virtualização para atacar aquilo a que chama a “infraestrutura de confiança”: routers Cisco IOS XR, servidores de autenticação TACACS e máquinas Linux de gestão. O caso é invulgar porque os atacantes não se limitaram a esconder-se — manipularam ativamente as próprias fontes de prova que as equipas de segurança usam para investigar, ao ponto de tornarem pouco fiáveis os registos dos equipamentos comprometidos.

Tudo começou com um túnel que não devia existir

O ponto de partida da investigação foi aparentemente banal. Uma interface de túnel aparecia como ativa num router Cisco IOS XR sem que existisse qualquer entrada correspondente no histórico de configuração ou um commit que explicasse a sua criação. Tratava-se de um túnel GRE (Generic Routing Encapsulation) que não era justificado nem pela configuração em execução nem pelo histórico de alterações.

Seguir esse túnel levou os investigadores a um servidor Linux de gestão que funcionava como nó de reconhecimento e de preparação de operações. A partir desse host, os operadores fizeram tentativas repetidas de ligação e sondagem de portos contra sistemas associados a ambientes de elevado valor e de infraestrutura crítica, incluindo serviços SSH, web, SMB/RPC e RDP; a investigação não confirmou o comprometimento desses alvos a jusante, tendo a atividade observada ficado limitada a varrimento e tentativas de ligação.

É este o conceito central do relatório: o que a Sygnia descreve como “alvo por detrás do alvo” — a atividade de 2026 comprometeu tanto o ambiente direto como ambientes ligados de elevado valor, visando infraestrutura da qual outros sistemas dependem para comunicar e ser administrados. Por outras palavras, a vítima inicial pode não ser o objetivo final, mas apenas a ponte discreta para lá chegar.

Duas ferramentas novas: BridgeAgent e TacTap

A investigação revelou duas ferramentas inéditas: um implante de camuflagem designado BridgeAgent, configurado para tunelamento e persistência através de uma unidade systemd zabbix_agent.service, executada como root e com reinício automático, e um conjunto de recolha de credenciais TACACS designado TacTap, que permitia injeção de bibliotecas, interceção de sessões aceites e passagem de descritores de ficheiro por socket Unix.

No detalhe técnico, o TacTap era composto por um injetor em /usr/sbin/acppid e por uma biblioteca partilhada maliciosa, /lib/libseconfd.so, injetada no processo tac_plus em execução, com hooks às funções accept e accept4, colocando o implante diretamente no caminho de tratamento das sessões TACACS e permitindo intercetar novas ligações administrativas aceites. Os descritores das ligações eram depois passados ao processo de recolha através do socket Unix local /var/run/acpid.lock. O material de credenciais recolhido era escrito num artefacto de registo ofuscado. A Sygnia nota que os registos de credenciais capturados eram cifrados com XOR 0xEF antes de serem escritos — a mesma escolha que a Mandiant já tinha documentado em ferramentas de recolha TACACS atribuídas ao UNC3886.

Já o BridgeAgent foi descrito como uma porta traseira para Linux disfarçada de componente de monitorização Zabbix: persistia através de uma unidade zabbix_agent.service, corria com privilégios de root, alterava a sua linha de comandos visível para se assemelhar a /usr/bin/gnome-shell, desencriptava configuração a partir de /opt/.ICEauthority e contactava infraestrutura controlada pelos atacantes por TLS no porto 443.

Nos routers, a Sygnia identificou malware personalizado que garantia persistência através de um falso serviço de sistema, executando o implante apenas em horas alternadas, e que suprimia seletivamente mensagens de syslog para esconder informação relacionada com o túnel dos administradores legítimos.

Indicadores e sinais de caça

A deteção do TacTap exige inspecionar o mapa de bibliotecas dos processos TACACS em execução, verificando /proc/[pid]/maps à procura de bibliotecas inesperadas, e vigiar o socket /var/run/acpid.lock, que não tem qualquer razão legítima para existir num servidor TACACS. O mecanismo de injeção carrega a biblioteca no processo em execução e remove-a depois do disco, deixando o binário com um hash “limpo” apesar de o comportamento do serviço estar alterado. A Sygnia publicou hashes de ficheiro para cada componente do implante IOS XR, a par de regras YARA para o TacTap e o BridgeAgent.

Para a camada de rede, as recomendações de caça publicadas incluem sinais concretos:

• Interfaces GRE ou outros túneis operacionalmente ativos mas ausentes da configuração em execução ou do histórico de commits — foi este o indicador inicial do caso investigado.
• Comparar o resultado dos comandos show com a configuração obtida por um canal de gestão independente, como NETCONF, porque o atacante modificou o caminho de execução de comandos do IOS XR para excluir entradas relacionadas com o túnel.
• Geração de PCAP em contas de gestão dos routers e envios por FTP ou SCP dessas contas para endereços IP externos.
• Processos agendados com um ciclo horário alternado (horas pares/ímpares).
• Lacunas no accounting de comandos e acessos de shell a partir de origens inesperadas.

Quando os registos deixam de servir como prova

O aspeto mais desconfortável do caso é forense. Segundo a Sygnia, o Fire Ant manipulou a própria camada de evidência: em routers, servidores TACACS e hosts Linux, modificou ou contornou as fontes de telemetria em que os defensores normalmente confiam, reforçando a necessidade de validar registos contra memória, disco, rede, autenticação e configuração. Os investigadores alertam ainda que o grupo altera sistematicamente registos e até timestamps de ficheiros para ofuscar prova, pelo que os logs obtidos de infraestrutura comprometida devem ser validados contra outras fontes.

A camada de acesso construída era resiliente: implantes de longa duração em infraestrutura Linux de gestão, incluindo componentes relacionados com o rootkit Medusa, backdoors SSH personalizados, malware que se fazia passar por Zabbix e backdoors ativados por pacotes. Vários destes componentes foram colocados em 2025 e reutilizados em operações manuais em 2026 — sinal de que os hosts de gestão foram tratados como plataformas operacionais de longo prazo e não como pontos de entrada descartáveis.

Continuidade com o UNC3886, sem atribuição fechada

A Sygnia avalia que a atividade do Fire Ant tem forte sobreposição com operações publicamente atribuídas ao UNC3886, um cluster de espionagem ligado à China seguido pela Mandiant, mas não trata os dois como definitivamente idênticos. Os investigadores apontam diferenças em nomes de ficheiros, caminhos e detalhes de implementação. Convém sublinhar o que não está estabelecido: a investigação divulgada publicamente não identifica uma vulnerabilidade concreta (CVE) explorada como vetor de acesso inicial aos routers, pelo que não há aqui um patch único que resolva o problema.

Porque é que isto importa a organizações em Portugal

A conclusão prática do relatório é transversal a qualquer operador de rede. A implicação central para as organizações é que routers, servidores de autenticação, hipervisores, jump hosts e appliances de gestão têm de ser tratados como ativos de segurança e forenses de primeira linha, com o mesmo nível de monitorização, hardening e prontidão de resposta a incidentes que endpoints e servidores tradicionais. Na maioria das organizações portuguesas, esta é precisamente a camada com menos telemetria: o EDR cobre postos e servidores, mas o router de fronteira, o servidor TACACS e o host de gestão ficam frequentemente fora do SIEM.

Este ponto liga-se diretamente ao novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), que reforça as obrigações de gestão de risco, segurança da cadeia de fornecimento e notificação de incidentes para entidades essenciais e importantes. Um cenário em que os registos do equipamento de rede podem ter sido adulterados coloca desafios óbvios à capacidade de caracterizar e reportar um incidente ao CNCS e ao CERT.PT dentro dos prazos, e reforça o valor de manter cópias de logs fora do próprio equipamento, com integridade garantida.

Há ainda uma dimensão de proteção de dados. A interceção de fluxos de autenticação administrativa e a recolha de tráfego num equipamento de fronteira podem implicar acesso a dados pessoais, com as consequentes obrigações de avaliação e eventual notificação à CNPD ao abrigo do RGPD. Para PME, a lição é mais simples: mesmo sem ser alvo final, uma organização com ligações de confiança a clientes, fornecedores ou entidades públicas pode ser usada como trampolim — as relações de infraestrutura de confiança criaram, neste caso, alcance potencial a ambientes externos ligados, incluindo redes de elevado valor e infraestrutura crítica.

Perguntas frequentes

Existe uma vulnerabilidade Cisco com CVE associada a esta campanha?

Não há, na informação divulgada publicamente, um identificador CVE apontado como vetor de acesso inicial aos routers. O foco do relatório está na pós-exploração: implantes personalizados, supressão de registos e abuso de acessos administrativos. Isso significa que a mitigação passa sobretudo por hardening, controlo de credenciais e deteção, e não apenas por aplicar uma atualização.

Como posso verificar se os meus routers foram afetados?

Comece por procurar interfaces de túnel ativas que não constem da configuração nem do histórico de commits e compare o resultado dos comandos CLI com a configuração obtida por um canal independente, como NETCONF. Verifique também geração de capturas de tráfego a partir de contas de gestão, envios por FTP ou SCP para endereços externos e lacunas no accounting de comandos.

O que muda num servidor TACACS comprometido desta forma?

O código malicioso é injetado no processo em execução e a biblioteca é depois removida do disco, pelo que a verificação de integridade de ficheiros não deteta nada de anormal. A deteção exige inspecionar as bibliotecas carregadas pelos processos TACACS e procurar sockets Unix que não deveriam existir nesse tipo de servidor.

Isto tem impacto para PME em Portugal?

Sim, sobretudo pelo efeito de ponte. Uma PME com ligações de confiança a clientes maiores, entidades públicas ou operadores críticos pode ser usada como via de acesso a esses ambientes. Segmentar redes de gestão, separar credenciais de administração, enviar registos para um destino externo e imutável e incluir equipamento de rede no âmbito de monitorização são medidas ao alcance de organizações de qualquer dimensão.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Sygnia, pela Mandiant e por outras fontes de investigação em cibersegurança.