In dem untersuchten Vorfall setzten die Angreifer zunächst ein Post-Exploitation-Werkzeug namens LINE VIPER ein. Damit lassen sich CLI-Befehle ausführen, Datenpakete mitschneiden und die VPN-Authentifizierung (Authentication, Authorization and Accounting, AAA) für Geräte der Angreifer umgehen. LINE VIPER kann außerdem Syslog-Meldungen unterdrücken, von Nutzern eingegebene CLI-Befehle abgreifen und einen verzögerten Neustart erzwingen.

Der erweiterte Zugriff durch LINE VIPER diente als Einfallstor für FIRESTARTER, das vor dem 25. September 2025 auf dem Firepower-Gerät eingerichtet wurde. So konnten die Angreifer dauerhaften Zugang behalten und kehrten zuletzt in diesem Monat erneut auf das kompromittierte Gerät zurück.

Bei FIRESTARTER handelt es sich um eine Linux-ELF-Binärdatei, die sich auf dem Gerät verankert und Firmware-Updates sowie Neustarts übersteht – sofern kein vollständiges Trennen vom Strom erfolgt. Die Malware nistet sich in die Boot-Sequenz ein, indem sie eine Startup-Mount-Liste manipuliert, und reaktiviert sich so bei jedem regulären Neustart automatisch. Laut Advisory gibt es zudem gewisse Überschneidungen mit einem bereits dokumentierten Bootkit namens RayInitiator.

FIRESTARTER versucht, einen sogenannten Hook in LINA zu setzen – die zentrale Komponente des Geräts für Netzwerkverarbeitung und Sicherheitsfunktionen. Über diesen Hook kann beliebiger Shellcode der APT-Akteure ausgeführt werden, einschließlich des Nachladens von LINE VIPER.

Cisco verfolgt die Ausnutzung der beiden Schwachstellen CVE-2025-20333 und CVE-2025-20362 unter der Bezeichnung UAT4356 (auch Storm-1849). Das Unternehmen beschreibt FIRESTARTER als Backdoor, die beliebigen Shellcode über den LINA-Prozess ausführt, indem sie speziell präparierte WebVPN-Authentifizierungsanfragen mit einem „Magic Packet" auswertet. Obwohl Ciscos Patches die beiden Lücken schließen, bleiben vor dem Patchen befallene Geräte verwundbar, da FIRESTARTER durch Firmware-Updates nicht entfernt wird.

Der Ursprung der Aktivität ist nicht abschließend geklärt; eine Analyse der Attack-Surface-Management-Plattform Censys aus dem Mai 2024 legte Verbindungen nach China nahe. UAT4356 wurde erstmals mit einer Kampagne namens ArcaneDoor in Verbindung gebracht, bei der zwei Zero-Day-Lücken in Cisco-Netzwerktechnik ausgenutzt wurden.

Zur vollständigen Beseitigung empfiehlt Cisco ausdrücklich, das Gerät neu aufzusetzen und zu aktualisieren. Bei bestätigter Kompromittierung von Cisco-Secure-ASA- oder -FTD-Plattformen seien sämtliche Konfigurationselemente als nicht vertrauenswürdig zu betrachten. Bis ein Neuaufsetzen möglich ist, rät das Unternehmen zu einem Kaltstart: Die Befehle shutdown, reboot und reload entfernen das schädliche Implantat nicht – das Netzkabel müsse gezogen und wieder eingesteckt werden.