Firewalls CISCO ASA também viraram alvo persistente
Firewalls sempre ocuparam a posição de primeira linha de defesa em ambientes corporativos e governamentais. O problema é que grupos avançados passaram a tratar esses equipamentos como plataformas permanentes de espionagem.
O caso do Firestarter chamou atenção exatamente por isso. O malware conseguiu permanecer ativo em dispositivos Cisco ASA e Firepower Threat Defense (FTD) mesmo após aplicação de patches e reinicializações operacionais. Em alguns cenários, a remoção só acontecia após desligamento físico completo do equipamento.
Na prática, isso muda completamente a percepção de risco sobre appliances de segurança.
O que é o Firestarter
O Firestarter é um backdoor persistente associado à campanha ArcaneDoor, também rastreada como UAT-4356 e Storm-1849. O foco principal da operação foi comprometimento de firewalls Cisco utilizados em ambientes críticos.
O malware foi identificado em dispositivos expostos à internet, explorando vulnerabilidades conhecidas para obter execução remota de código e persistência em baixo nível.
Após a infecção, os operadores obtinham:
- Execução remota de comandos
- Captura de tráfego de rede
- Bypass de autenticação VPN
- Supressão de logs
- Movimentação lateral para redes internas
- Persistência resistente a reboot tradicional
O detalhe mais relevante é que o Firestarter não se comportava como malware convencional hospedado apenas no sistema operacional do appliance.
Ele se integrava ao processo LINA, núcleo responsável pelo processamento de tráfego e funcionalidades de segurança nos firewalls Cisco ASA e FTD.
Como o comprometimento acontece
O vetor inicial observado utilizava vulnerabilidades críticas como CVE-2025-20333 e CVE-2025-20362.
Em ambientes expostos publicamente, os atacantes conseguiam realizar upload do payload e iniciar a cadeia de persistência.
O processo observado incluía:
1. Exploração inicial
Interfaces de gerenciamento expostas permitiam execução remota e envio do binário ELF Linux responsável pela infecção.
2. Hook no processo LINA
O malware injetava hooks diretamente no processo responsável pelo plano de controle e processamento de tráfego do firewall.
Isso permitia interceptar autenticações, manipular sessões VPN e inspecionar tráfego sensível.
3. Persistência em boot
O Firestarter alterava mecanismos de inicialização ligados ao Cisco Service Platform (CSP), garantindo execução automática após reinicialização.
Esse detalhe explica por que comandos tradicionais como reload ou shutdown não removiam a ameaça.
4. Execução operacional
Com persistência ativa, o toolkit LINE VIPER era utilizado para:
- Execução arbitrária de comandos CLI
- Ocultação de atividades
- Manipulação de logs
- Captura de tráfego interno
- Controle remoto contínuo
Em operações de espionagem, esse nível de acesso é extremamente valioso porque o firewall enxerga praticamente toda comunicação estratégica da organização.
Por que reiniciar o firewall não resolvia
Muitas equipes assumem que reboot remove ameaças em appliances de segurança.
Esse caso mostrou exatamente o contrário.
O Firestarter persistia em componentes carregados durante o boot do equipamento. Isso significa que reinicializações lógicas mantinham parte da estrutura maliciosa ativa.
Em vários cenários, apenas um cold restart completo, com desligamento físico do equipamento, interrompia temporariamente o backdoor.
Mesmo assim, a recomendação posterior envolveu reimage completo do dispositivo e reconstrução da configuração.
Do ponto de vista ofensivo, isso demonstra conhecimento profundo da arquitetura interna dos appliances Cisco.
O incidente na agência federal dos EUA
Em março de 2026, investigadores identificaram o Firestarter ativo em um firewall Firepower utilizado por uma agência civil federal dos Estados Unidos.
O ponto crítico é que o dispositivo já havia recebido patches anteriormente.
Mesmo assim, o acesso persistente continuava ativo desde pelo menos setembro de 2025.
A resposta incluiu atualização da Diretiva de Emergência 25-03 da CISA, exigindo:
- Análise de dumps de memória
- Verificação de hooks em processos críticos
- Power cycle obrigatório
- Reimage completo dos appliances suspeitos
- Revisão total da confiança na configuração do firewall
Na prática, qualquer firewall Cisco ASA ou FTD exposto publicamente passou a ser tratado como potencialmente comprometido até validação completa.
O que esse caso mostra para ambientes corporativos
Existe um erro comum em muitas empresas: assumir que appliances de segurança são dispositivos confiáveis por definição.
Na prática, firewalls modernos executam sistemas Linux complexos, serviços web, APIs, módulos VPN, integração cloud e múltiplos componentes de terceiros.
Isso amplia significativamente a superfície de ataque.
Em avaliações ofensivas conduzidas pela Antisec, é comum encontrar:
- Interfaces de management expostas diretamente na internet
- ACLs permissivas
- VPNs sem MFA
- Firmware desatualizado
- Logs insuficientes
- Segmentação inexistente
Quando um atacante obtém persistência em um firewall, ele não compromete apenas um equipamento. Ele passa a operar em uma posição privilegiada dentro da rede.
Como reduzir o risco
Mitigação nesse cenário exige abordagem prática.
1. Nunca exponha interfaces administrativas
Management interface acessível pela internet continua sendo um dos vetores mais explorados em appliances.
2. Faça validação contínua de integridade
Não basta aplicar patch. É necessário validar processos, hooks, módulos carregados e alterações suspeitas no boot.
3. Adote logging externo
Logs armazenados apenas no appliance podem ser manipulados pelo atacante.
Centralização em SIEM reduz esse risco.
4. Reforce acesso VPN
MFA, segmentação e políticas restritivas continuam essenciais.
5. Considere monitoramento ofensivo contínuo
Red Team, Purple Team e validações técnicas frequentes ajudam a identificar exposição antes que grupos avançados explorem o ambiente.
O problema não é apenas vulnerabilidade
O Firestarter mostra uma mudança importante no cenário atual.
Hoje, grupos avançados não buscam apenas exploração pontual. Eles buscam permanência operacional silenciosa dentro da infraestrutura.
Quando o alvo é o próprio firewall corporativo, o impacto potencial aumenta significativamente.
Esse tipo de operação exige maturidade defensiva real, monitoramento contínuo e validação técnica frequente da superfície exposta.
Muitas organizações descobrem tarde demais que o perímetro já deixou de ser confiável.
Como a Antisec atua nesse cenário
A Antisec executa avaliações ofensivas e validações técnicas focadas exatamente nesse tipo de exposição crítica.
Nossos serviços de Red Team, Pentest, Blue Team, DevSecOps e vCISO ajudam empresas a identificar falhas exploráveis antes que elas sejam utilizadas em operações reais.
Em ambientes com appliances críticos expostos, validação contínua deixou de ser diferencial técnico. Virou requisito operacional.
