Nach Darstellung von CISA ereignete sich die Kompromittierung der Bundesbehörde im frühen September 2025. „CISA hat das genaue Datum der ersten Ausnutzung nicht bestätigt, geht aber davon aus, dass die Kompromittierung Anfang September 2025 stattfand, bevor die Behörde gemäß ED 25-03 Patches einspielte“, heißt es in der Warnmeldung der Behörde.

Der Angriff verlief mehrstufig: Zunächst kam Line Viper zum Einsatz, ein im Benutzermodus laufender Shellcode-Loader. Über ihn richteten die Angreifer VPN-Sitzungen ein und griffen auf sämtliche Konfigurationsdetails der kompromittierten Firepower-Geräte zu – darunter administrative Zugangsdaten, Zertifikate und private Schlüssel. Anschließend wurde die als ELF-Binärdatei vorliegende Firestarter-Hintertür für die dauerhafte Verankerung nachgeladen.

Die Persistenz erreicht Firestarter, indem es sich in LINA einklinkt, den zentralen Prozess der Cisco ASA, und über Signal-Handler Routinen zur Neuinstallation auslöst. Laut dem gemeinsamen Malware-Analysebericht der beiden Behörden verändert die Hintertür die Boot-/Mount-Datei CSP_MOUNT_LIST, um beim Start ausgeführt zu werden, legt eine Kopie ihrer selbst unter /opt/cisco/platform/logs/var/log/svc_samcore.log ab und stellt sich nach /usr/bin/lina_cs wieder her, wo sie im Hintergrund läuft. Cisco Talos ergänzt in seiner eigenen Analyse, dass der Persistenzmechanismus beim Empfang eines Prozess-Beendigungssignals greift – also bei einem geordneten Neustart.

Die Kernfunktion des Implantats ist der Fernzugriff über eine Hintertür; zusätzlich kann es von Angreifern bereitgestellten Shellcode ausführen. Dazu klinkt sich Firestarter in LINA ein, indem es einen XML-Handler verändert und Shellcode in den Speicher injiziert. Ausgelöst wird dieser durch eine speziell präparierte WebVPN-Anfrage, die nach Prüfung einer fest einkodierten Kennung die übergebenen Payloads direkt im Speicher lädt und ausführt. Zu den konkret beobachteten Payloads machte CISA keine Angaben.

Cisco hat eine Sicherheitsmeldung zu Firestarter veröffentlicht, die Gegenmaßnahmen und Behelfslösungen zum Entfernen des Persistenzmechanismus sowie Kompromittierungsindikatoren enthält. Der Hersteller „empfiehlt dringend, das Gerät neu aufzusetzen und mit den fehlerbereinigten Versionen zu aktualisieren“ – und zwar sowohl bei kompromittierten als auch bei nicht kompromittierten Geräten.

Zur Prüfung auf eine Kompromittierung sollen Administratoren den Befehl „show kernel process | include lina_cs“ ausführen; liefert er eine Ausgabe, gilt das Gerät als kompromittiert. Ist ein Neuaufsetzen nicht möglich, entfernt laut Cisco ein Kaltstart durch Trennen der Stromzufuhr die Malware; davon rät der Hersteller jedoch ab, da dabei Datenbank- oder Festplattenbeschädigungen mit Startproblemen drohen. CISA stellt zudem zwei YARA-Regeln bereit, die Firestarter in einem Festplatten-Image oder einem Speicherauszug erkennen.