Вредоносное ПО FIRESTARTER смогло инфицировать устройства Cisco Firepower, используемые в одной из федеральных агентств США. Это стало возможным благодаря использованию уязвимостей, которые были исправлены, но не устранили последствия этой атаки.
Предыстория атаки на Cisco
Команда кибербезопасности США (CISA) сообщила, что заражение произошло в сентябре 2025 года. Атака была осуществлена с помощью уязвимостей, помеченных как CVE-2025-20333 и CVE-2025-20362, которые имели очень высокие оценки CVSS — 9.9 и 6.5 соответственно. Эти недостатки позволяли удалённым злоумышленникам выполнять произвольный код на устройствах, используя специальные HTTP-запросы.
Что такое FIRESTARTER?
FIRESTARTER описывается как бэкдор, который обеспечивает удаленный доступ к заражённым устройствам и может оставаться активным даже после установки патчей безопасности. Установившись на устройство, этот вредоносный код может возобновлять свою работу после перезагрузки, манипулируя последовательностью загрузки устройства, тем самым восстанавливаясь после обновлений.
Cisco также предупредила о том, что программный комплект LINE VIPER, использовавшийся в этой атаке, позволяет злоумышленникам выполнять команды CLI, захватывать пакеты этих и обходить системы аутентификации. Это создает возможность для повторного доступа к уже скомпрометированным устройствам.
Практические выводы для бизнеса
Для компаний, использующих оборудование Cisco, это предупреждение актуально: даже после установки обновлений устройства могут оставаться уязвимыми к повторным атакам. Cisco рекомендует полностью переустанавливать устройства для устранения угроз. Важно, чтобы организации, использующие сетевое оборудование, регулярно проводили аудит безопасности и держали программное обеспечение в актуальном состоянии.
Следующий шаг для Cisco заключается в ещё более тщательном анализе взломано оборудования и разработке дополнительных средств защиты от подобных угроз в будущем.