Nach Angaben von CISA wurde die betroffene Stelle über zwei Schwachstellen in Ciscos Adaptive Security Appliances (ASA) angegriffen, vor denen die Behörde bereits im September gewarnt und deren Patchen sie angeordnet hatte: CVE-2025-20333 und CVE-2025-20362. Die aktualisierte Meldung erfolgte laut CISA „als Reaktion auf neue Erkenntnisse der Cyber-Bedrohungsaufklärung über Akteure, die Persistenz und fortdauernden unbefugten Zugriff auf Cisco-Produkte der Reihen Firepower und Secure Firewall mit ASA- oder Firepower-Threat-Defense-Software (FTD) aufrechterhalten".
Im Rahmen ihres kontinuierlichen Überwachungsprogramms stieß CISA nach eigenen Angaben auf „verdächtige Verbindungen auf einem Cisco-Firepower-Gerät einer zivilen US-Bundesbehörde, das mit ASA-Software lief". Nach Bestätigung des Funds mit dem Personal der Behörde leitete CISA eine forensische Untersuchung ein und entdeckte dabei das Schadprogramm FIRESTARTER auf dem Firepower-Gerät.
Daneben setzten die Angreifer eine weitere Malware namens Line Viper ein, die unberechtigte VPN-Sitzungen aufbaute und sämtliche VPN-Authentifizierungsrichtlinien umging. Line Viper verschaffte den Akteuren Zugriff auf alles, was auf dem Firepower-Gerät lag — darunter administrative Zugangsdaten, Zertifikate und private Schlüssel. Zusätzlich nutzten die Angreifer Behördenkonten, die zwar noch existierten, innerhalb der Behörde aber nicht mehr aktiv waren.
FIRESTARTER diente dazu, den Zugang zum kompromittierten Gerät dauerhaft zu sichern. Dadurch konnten die Angreifer im März 2026 erneut Zugriff erlangen, ohne die ursprünglichen Lücken neu auszunutzen. Geräte, die vor dem Einspielen der Patches für CVE-2025-20333 und CVE-2025-20362 kompromittiert wurden, bleiben wegen FIRESTARTER verwundbar. Laut CISA wurde die Malware vor dem 25. September 2025 auf dem Cisco-Gerät platziert; das genaue Datum ist unbekannt.
Welches Land hinter den Angriffen steht, ließ CISA sowohl im September als auch jetzt offen. Wired, das die Kampagne vor zwei Jahren erstmals gemeldet hatte, berichtete unter Berufung auf Quellen, sie „scheint mit den staatlichen Interessen Chinas in Einklang zu stehen". Cisco hatte im September in einer umfangreichen Untersuchung zu den beiden CVEs mit hoher Zuversicht festgestellt, dass die Kampagne denselben Angreifern zuzuordnen ist wie die 2024 entdeckte ArcaneDoor-Kampagne, die Cisco staatlich unterstützten Akteuren zuschrieb.
Die neuen Warnungen veröffentlichte CISA gemeinsam mit dem britischen NCSC. Parallel gaben beide Behörden eine weitere Mitteilung über staatlich verbundene chinesische Akteure heraus, die verdeckte Netze gekaperter Geräte nutzen; darin geht es konkret um die Taktiken der Gruppen Volt Typhoon und Flax Typhoon.
CISAs Anweisungen verpflichten alle zivilen Bundesbehörden zu mehreren Schritten. Sie müssen umfangreiche Informationen einreichen; wird eine Kompromittierung bestätigt, folgen weitere Anweisungen, die unter anderem die Aufforderung enthalten können, „das Gerät physisch vom Strom zu trennen, um die Persistenz von FIRESTARTER zu beseitigen". Die Bestätigung der Malware-Prüfungen ist bis Mitternacht am Freitag fällig, bis zum 1. Mai müssen alle Behörden ein Inventar ihrer Cisco-Firepower-Geräte vorlegen, und bis zum 1. August wird CISA dem Nationalen Cyber-Direktor und weiteren Führungspersonen im Weißen Haus einen Bericht über die Kampagne übermitteln.
CISA warnte wiederholt, die im September empfohlenen Maßnahmen reichten weder aus, um die Malware zu entfernen, noch um die Angreifer vollständig aus einem kompromittierten System zu verdrängen: „Behörden, die die Anforderungen des Sicherheitsupdates erfüllt haben, sind weiterhin anfällig für Persistenz und müssen daher die aktualisierten Pflichtmaßnahmen erfüllen." Zugleich mahnte die Behörde: „Organisationen sollten das Gerät nicht vom Netz trennen, sofern sie nicht von CISA dazu aufgefordert werden." CISA stellte zudem Hinweise bereit, wie jede Organisation prüfen kann, ob sie mit FIRESTARTER infiziert ist.