Backdoor `FIRESTARTER` mantém persistência em Cisco Firepower após atualização

Implante Linux em dispositivo Cisco ASA/FTD comprometido preserva acesso pós-correção, sobrevive a reinicializações normais e permite reentrada por fluxo WebVPN manipulado.

Componente	Dispositivo Cisco Firepower executando software Adaptive Security Appliance (ASA) e plataformas Cisco Secure ASA ou Firepower Threat Defense (FTD) quando já comprometidas.
Vetor	Exploração de falhas corrigidas, incluindo CVE-2025-20333 e CVE-2025-20362, com requisições HTTP/WebVPN especialmente construídas; o acesso elevado do toolkit LINE VIPER serviu como caminho para instalar o FIRESTARTER antes da aplicação das correções.
Impacto	Persistência pós-correção, reativação após reinicialização normal, execução de shellcode arbitrário pelo processo LINA e retorno ao appliance sem necessidade de explorar novamente as vulnerabilidades já corrigidas.
Prioridade	Em caso de comprometimento confirmado, executar desligamento físico completo como contenção temporária, reimaginar o equipamento, atualizar para versões corrigidas e tratar toda a configuração do dispositivo como não confiável.
Versões e falhas	CVE-2025-20333 tem pontuação CVSS 9.9 e permite execução de código como root por atacante remoto autenticado com credenciais VPN válidas; CVE-2025-20362 tem pontuação CVSS 6.5 e permite acesso remoto não autenticado a endpoints restritos por requisições HTTP manipuladas.
Artefatos	FIRESTARTER é um binário Linux ELF; LINE VIPER executa comandos CLI, realiza captura de pacotes, contorna AAA de VPN para dispositivos do ator, suprime mensagens syslog, coleta comandos CLI de usuários e força reinicialização atrasada.

Resumo técnico

O incidente envolve um appliance Cisco Firepower de uma agência civil federal dos Estados Unidos executando software ASA, comprometido em setembro de 2025 com o backdoor FIRESTARTER. O implante foi descrito como uma porta dos fundos voltada a acesso remoto e controle persistente em dispositivos Cisco que rodam ASA ou FTD. O ponto crítico do caso não é apenas a exploração inicial das falhas corrigidas, mas a permanência do malware depois que o dispositivo recebe atualização de firmware. Em appliances de borda, esse comportamento altera o fluxo normal de resposta: aplicar correção fecha o vetor conhecido, mas não remove necessariamente o código já implantado no equipamento antes da correção.

O FIRESTARTER foi observado como parte de uma atividade ampla atribuída a um ator de ameaça persistente avançada, acompanhada pela Cisco como UAT4356, também referida como Storm-1849. A atribuição operacional deve ser lida com cautela porque o próprio contexto aponta que a origem exata da atividade não está completamente definida. O dado técnico confirmável é a combinação entre falhas em Cisco ASA/FTD, implantação de toolkit pós-exploração e persistência no processo de inicialização. A atividade se relaciona a um histórico de campanhas contra infraestrutura de borda, incluindo o uso anterior de malware sob medida para reconhecimento e captura de tráfego em equipamentos de rede.

A cadeia descrita inclui o toolkit LINE VIPER, que concede ao operador funções de alto privilégio dentro do appliance. Com ele, o invasor consegue executar comandos CLI, capturar pacotes, suprimir eventos de syslog, coletar comandos digitados por usuários e interferir no fluxo de autenticação, autorização e contabilização de VPN para dispositivos controlados pelo ator. Esse conjunto de capacidades torna o equipamento de perímetro um ponto de observação e acesso contínuo, fora do alcance de muitos controles tradicionais de endpoint e identidade. A consequência defensiva é direta: um dispositivo corrigido, mas não reimaginado, ainda pode manter uma condição de comprometimento se o implante já estiver no ciclo de inicialização.

Fluxo técnico

A exploração associada a CVE-2025-20333 e CVE-2025-20362 fornece os caminhos de entrada documentados. A primeira falha decorre de validação inadequada de entrada fornecida pelo usuário e permite que um atacante remoto autenticado, com credenciais VPN válidas, envie requisições HTTP construídas para executar código arbitrário como root em um dispositivo afetado. A segunda falha também envolve validação inadequada de entrada e permite que um atacante remoto não autenticado acesse endpoints de URL restritos por meio de requisições HTTP manipuladas. O contexto não confirma que toda instalação de FIRESTARTER dependa sempre de uma sequência única entre as duas CVEs; ele sustenta que a campanha explorou essas falhas corrigidas para obter acesso ao firmware ASA.

Depois do acesso inicial, o LINE VIPER aparece como o componente de pós-exploração que amplia o controle sobre o appliance. Suas funções apontam para operação interativa e furtiva: execução de comandos, inspeção de tráfego por captura de pacotes, redução de visibilidade com supressão de syslog, coleta de comandos administrativos e manipulação de AAA de VPN para permitir que dispositivos do ator contornem controles esperados. Esse nível de controle cria as condições para instalar o FIRESTARTER antes da aplicação de patches, mantendo um caminho de retorno independente do vetor original.

O FIRESTARTER é um binário Linux ELF que instala persistência alterando a lista de montagem usada na inicialização. Com essa manipulação, o implante se encaixa na sequência de boot e volta a ficar ativo após reinicializações normais. A persistência permanece mesmo quando o firmware é atualizado, porque a atualização não remove o mecanismo implantado no estado comprometido do dispositivo. A exceção operacional destacada é o desligamento físico completo: comandos como shutdown, reboot ou reload não limpam o implante persistente, enquanto a remoção e reconexão da alimentação elétrica interrompe temporariamente a presença ativa até que uma reimagem completa seja executada.

O mecanismo também tenta instalar um hook em LINA, o mecanismo central do dispositivo para processamento de rede e funções de segurança. Esse hook intercepta ou modifica operações normais para permitir execução de shellcode arbitrário fornecido pelos operadores. A Cisco descreve o recebimento desse shellcode pelo processo LINA a partir da análise de requisições de autenticação WebVPN especialmente construídas contendo um magic packet. O efeito prático é um canal de execução que não depende de nova exploração das CVEs após a correção, desde que o backdoor já esteja presente e o fluxo de ativação continue acessível.

Superfície afetada

A superfície diretamente descrita é formada por dispositivos Cisco Secure ASA e FTD, incluindo o caso específico de um Cisco Firepower executando software ASA. A exposição é mais grave quando o appliance foi comprometido antes da aplicação das versões corrigidas, porque a correção das vulnerabilidades fecha a exploração conhecida, mas não remove automaticamente um implante persistente já instalado. Isso cria uma diferença essencial entre vulnerabilidade remediada e dispositivo limpo: o estado do firmware atualizado não é prova suficiente de erradicação quando há indício de FIRESTARTER ou LINE VIPER.

Ambientes que dependem desses appliances para VPN, inspeção de tráfego, políticas de borda e controle de acesso devem considerar que o equipamento comprometido ocupa uma posição privilegiada na arquitetura. Ele processa sessões de usuários, autenticação WebVPN, tráfego de perímetro e comandos administrativos. As capacidades do LINE VIPER indicam risco concreto de execução de comandos no próprio appliance, captura de pacotes e manipulação de eventos de auditoria. O contexto não sustenta afirmar vazamento de dados, movimentação lateral ou comprometimento de sistemas internos como consequência confirmada; o impacto tecnicamente confirmado está no controle persistente do dispositivo, na observação de tráfego e na reentrada pós-correção.

• Dispositivos Cisco Firepower executando software ASA e plataformas Cisco Secure ASA ou FTD já comprometidas antes das atualizações corrigidas.
• Interfaces e fluxos WebVPN capazes de processar requisições de autenticação especialmente construídas contendo magic packet.
• Controles de VPN AAA, logs syslog, comandos CLI administrativos e captura de pacotes no appliance como pontos sensíveis de observação.
• Configurações do dispositivo em caso de comprometimento confirmado, que devem ser tratadas como não confiáveis durante a reconstrução.

Hunting e telemetria

A investigação deve partir da diferença entre atualização aplicada e erradicação comprovada. Em appliances possivelmente expostos, equipes de segurança devem correlacionar a data de correção com sinais anteriores de exploração de CVE-2025-20333 e CVE-2025-20362, especialmente antes de 25 de setembro de 2025 no cenário descrito. A presença de atividade de retorno ao appliance depois da correção é um sinal de maior gravidade, pois sugere persistência em vez de tentativa comum de exploração contra uma falha já corrigida. O dado temporal também importa porque o caso investigado manteve acesso contínuo e retorno observado meses após a implantação inicial.

A telemetria deve priorizar sinais que o próprio malware e o toolkit podem tentar reduzir. A supressão de syslog por LINE VIPER significa que ausência de log não deve ser interpretada como ausência de atividade. É necessário comparar registros do appliance com fontes externas, como concentradores de autenticação, registros de VPN, telemetria de rede, histórico de mudanças de configuração, fluxos de tráfego e inventário de firmware. Capturas de pacotes incomuns, reinicializações atrasadas, alterações no comportamento de AAA, comandos CLI não atribuíveis a administradores e acessos WebVPN anômalos são mais úteis quando analisados em conjunto.

A busca por FIRESTARTER exige atenção ao ciclo de boot e a artefatos persistentes. Como o implante manipula lista de montagem de inicialização e tenta hook em LINA, a resposta não deve depender apenas de verificação superficial de versão. Alterações inesperadas no processo de montagem, comportamento anômalo após reinicializações normais e necessidade recorrente de retorno de sessões externas ao appliance são indicadores que justificam isolamento e reconstrução. Onde houver capacidade forense de appliance, a coleta deve preservar estado antes de reimagem, mas a prioridade operacional continua sendo remover o equipamento comprometido do caminho de confiança.

• Acessos WebVPN com padrões incomuns de autenticação ou requisições especialmente construídas, principalmente antes e depois da aplicação de correções.
• Diferenças entre logs locais do appliance e telemetria externa que sugiram supressão de syslog ou lacunas artificiais de auditoria.
• Execução de comandos CLI sem correspondência com administradores autorizados, inclusive comandos coletados ou repetidos em horários incomuns.
• Alterações no comportamento de VPN AAA, incluindo dispositivos que parecem contornar autenticação, autorização ou contabilização esperadas.
• Reinicializações atrasadas, retorno de acesso após reboot normal e persistência de sintomas depois de atualização de firmware.

Mitigação

A ação defensiva principal para comprometimento confirmado não é apenas aplicar patch. A orientação técnica é reimaginar o dispositivo e atualizá-lo para uma versão corrigida, porque o FIRESTARTER não é removido por atualizações de firmware quando já está persistente. Antes da reimagem, um desligamento físico completo pode remover temporariamente o implante ativo: comandos shutdown, reboot e reload não são suficientes, sendo necessário retirar a alimentação elétrica e reconectá-la. Essa medida deve ser tratada como contenção temporária, não como erradicação definitiva.

Depois da contenção, a configuração do appliance comprometido deve ser considerada não confiável. Isso implica revisar e reconstruir políticas, objetos, contas, integrações de autenticação, certificados, rotas, túneis, perfis VPN e qualquer elemento exportado do dispositivo. Restaurar cegamente um backup produzido durante o período de comprometimento pode reintroduzir artefatos ou configurações alteradas pelo ator. A reconstrução precisa separar o que é estado operacional legítimo do que pode ter sido manipulado enquanto LINE VIPER tinha capacidade de executar comandos, alterar visibilidade e interferir em controles de acesso.

A mitigação também precisa cobrir credenciais e caminhos de administração. Como CVE-2025-20333 envolve atacante autenticado com credenciais VPN válidas, credenciais usadas no período de exposição devem ser revisadas conforme o escopo interno de identidade. O contexto não confirma roubo de credenciais, mas confirma capacidade do toolkit de coletar comandos CLI de usuários e contornar AAA de VPN para dispositivos do ator. Assim, a resposta deve incluir validação de contas administrativas, revisão de sessões VPN, inspeção de integrações de identidade e endurecimento do acesso de gerenciamento. O retorno à operação deve ocorrer somente depois de reimagem, atualização, validação de configuração limpa e monitoramento direcionado para o padrão de reentrada descrito.

• Executar desligamento físico completo do appliance como contenção temporária quando houver suspeita forte ou confirmação de FIRESTARTER.
• Reimaginar o dispositivo e atualizar para versões corrigidas em vez de confiar apenas em atualização de firmware aplicada sobre estado comprometido.
• Reconstruir ou validar integralmente a configuração, tratando backups e elementos exportados durante o comprometimento como material não confiável.
• Revisar contas administrativas, integrações VPN, políticas AAA, certificados, rotas, túneis e registros externos de autenticação.
• Monitorar tentativas posteriores de acesso WebVPN, execução de CLI, lacunas de syslog, captura de pacotes e reentrada após reinicializações normais.