Cisco hatte im Mai 2024 zwei als Zero-Days ausgenutzte Schwachstellen in seiner ASA-Firewall-Plattform geschlossen, die der staatlich gesteuerten Kampagne ArcaneDoor zugeordnet wurden. Ein Jahr später folgten zwei weitere Zero-Days derselben Kampagne, geführt als CVE-2025-20333 und CVE-2025-20362. Sie betreffen den VPN-Webserver der ASA- sowie der Secure-Firewall-Threat-Defense-Software (FTD).
Im September 2025 erließ CISA die Emergency Directive 25-03 und forderte die Bundesbehörden auf, betroffene Cisco-Geräte unverzüglich zu patchen. Im November ergänzte die Behörde ihre Empfehlungen um zusätzliche Schutzmaßnahmen. Am Donnerstag aktualisierte CISA die Anweisung erneut – mit dem zentralen Hinweis, dass das Einspielen von Patches die auf den Geräten platzierte Schadsoftware nicht beseitigt.
Laut der aktualisierten Direktive sollen Bundesbehörden sogenannte Core-Dumps ihrer Geräte in das Portal Malware Next Gen hochladen, um eine mögliche Kompromittierung zu überprüfen, und CISA im Verdachtsfall umgehend informieren. Die Vorgabe gilt für die Firepower-Serien 1000, 2100, 4100 und 9300 sowie für die Secure-Firewall-Serien 200, 1200, 3100, 4200 und 6100. Alle Prüfungen und Updates müssen bis zum 24. April 2026 um 23:59 Uhr EST abgeschlossen sein; bis zum 30. April sind die Geräte per Hard-Reset zurückzusetzen.
Begleitend veröffentlichte CISA eine detaillierte Analyse der Backdoor Firestarter, die als die in diesen Angriffen eingesetzte Schadsoftware identifiziert wurde. Mindestens eine Bundesbehörde wurde der Behörde zufolge über ein für CVE-2025-20333 und CVE-2025-20362 anfälliges Firepower-Gerät infiziert. Firestarter wurde vor dem 25. September eingeschleust, überdauerte die Bereinigung und verschaffte den Angreifern Fernzugriff und Kontrolle über die verwundbare Firewall.
„Firestarter versucht, einen Hook – eine Möglichkeit, normale Abläufe abzufangen und zu verändern – innerhalb von Lina einzurichten, der zentralen Engine des Geräts für Netzwerkverarbeitung und Sicherheitsfunktionen. Dieser Hook ermöglicht die Ausführung von beliebigem Shell-Code der APT-Akteure, einschließlich des Einsatzes von Line Viper", erläutert CISA.
Nach Angaben von Cisco ähnelt die Backdoor dem bereits beschriebenen RayInitiator-Bootkit der ArcaneDoor-Kampagne. Firestarter erreicht Persistenz, indem es die Mount-Liste der Cisco Service Platform (CSP) verändert, sodass Programme beim Start ausgeführt werden. Nach einem Neustart stellt die Schadsoftware die ursprüngliche Liste wieder her und entfernt die manipulierte Kopie – das Implantat lässt sich also durch einen Hard-Reboot beseitigen, bei dem das Gerät vom Strom getrennt wird.
Cisco führt die Angriffe auf den staatlich gesteuerten, auf Spionage ausgerichteten Akteur UAT-4356 zurück und hat ein neues Advisory zur fortlaufenden Ausnutzung von CVE-2025-20333 und CVE-2025-20362 veröffentlicht.