**Un backdoor persistente compromette dispositivi ASA e FTD di agenzie federali statunitensi, sfidando i metodi tradizionali di remediation**
—
Un nuovo e sofisticato malware denominato **FIRESTARTER** sta mettendo a dura prova la sicurezza delle infrastrutture critiche statunitensi. Il backdoor, progettato specificamente per i dispositivi Cisco Adaptive Security Appliance (ASA) e Firepower Threat Defense (FTD), ha una caratteristica particolarmente allarmante: sopravvive agli aggiornamenti firmware e alle patch di sicurezza standard, rendendo inefficaci le procedure di remediation convenzionali.
## Come Funziona FIRESTARTER
Il malware sfrutta due vulnerabilità critiche per ottenere l’accesso iniziale ai dispositivi target. La prima, **CVE-2025-20333**, classificata con un punteggio CVSS di 9.9 su 10, richiede credenziali VPN valide per essere sfruttata. La seconda, **CVE-2025-20362** (CVSS 6.5), è invece sfruttabile senza autenticazione, abbassando significativamente la soglia di accesso per gli attaccanti.
Una volta infiltrato nel sistema, FIRESTARTER modifica la sequenza di avvio del dispositivo e si aggancia a **LINA**, il processo core di sicurezza di Cisco. Questa tecnica garantisce la persistenza anche dopo aggiornamenti firmware e riavvii ordinari eseguiti tramite interfaccia a riga di comando. Il meccanismo ricorda da vicino il **RayInitiator bootkit**, componente già noto della campagna ArcaneDoor, suggerendo una chiara continuità nelle metodologie del threat actor responsabile.
## L’Attore della Minaccia: UAT4356/Storm-1849
Il gruppo dietro FIRESTARTER è tracciato da Cisco come **UAT4356** e da Microsoft come **Storm-1849**. Si tratta di un Advanced Persistent Threat (APT) con caratteristiche tipiche di attori sponsorizzati da stati nazionali o comunque dotati di risorse significative. Il gruppo è già noto per la campagna ArcaneDoor, che prendeva di mira dispositivi Cisco, e dimostra una capacità continuativa nello sviluppo di meccanismi di persistenza personalizzati e toolkit post-exploitation avanzati.
In questa campagna, oltre a FIRESTARTER, gli attaccanti hanno distribuito il toolkit post-exploitation **LINE VIPER**, consolidando la propria presenza nei sistemi compromessi e facilitando movimenti laterali all’interno delle reti colpite.
## L’Impatto sulle Agenzie Federali
Il caso più grave documentato riguarda **almeno un’agenzia federale civile statunitense** (U.S. Federal Civilian Executive Branch), compromessa nel settembre 2025. L’incidente ha spinto la **CISA** a emettere la **Emergency Directive 25-03** nello stesso mese, con aggiornamenti successivi nel novembre 2025 e nell’aprile 2026. Le agenzie federali coinvolte sono tenute a completare la verifica e il hard-reset entro il **30 aprile 2026**.
Il targeting di dispositivi firewall e di sicurezza perimetrale rappresenta una tendenza strategica preoccupante: compromettere il perimetro di sicurezza stesso, anziché i sistemi interni, offre agli attaccanti un punto d’appoggio resiliente e difficilmente rilevabile.
## Remediation: Perché le Patch Non Bastano
Questo caso rappresenta un monito chiaro per i team di sicurezza: **il patching standard non è sufficiente** contro meccanismi di persistenza operanti a livello di boot. Cisco e CISA raccomandano un approccio articolato:
- **Analisi preventiva**: caricare i core dump del dispositivo su piattaforme di analisi per verificare la presenza del malware prima di procedere
- **Cold restart**: disconnettere fisicamente il dispositivo dall’alimentazione per rimuovere temporaneamente FIRESTARTER; il riavvio via CLI non elimina la persistenza a livello di boot
- **Reimaging completo**: unica soluzione definitiva per eliminare completamente il malware, accompagnata da aggiornamento firmware
- **Rotazione delle credenziali**: tutti i dati di configurazione e le credenziali sui dispositivi compromessi devono essere considerati non attendibili
- **Restrizione degli accessi VPN**: ridurre la superficie di attacco limitando l’autenticazione VPN, considerando che CVE-2025-20333 richiede credenziali valide
Per le organizzazioni impossibilitate a eseguire immediatamente il reimaging, il cold restart offre una soluzione temporanea, ma deve essere seguito da reimaging entro una finestra temporale definita per evitare la riattivazione dei meccanismi di persistenza.
## Conclusioni
FIRESTARTER rappresenta un’evoluzione significativa nel panorama delle minacce alle infrastrutture critiche: un malware che trasforma il perimetro di sicurezza in un punto di vulnerabilità permanente. La risposta richiede non solo strumenti tecnici aggiornati, ma un ripensamento delle procedure operative standard, dove la verifica fisica e il reimaging diventano componenti irrinunciabili della strategia di incident response.
—
- *Fonti:**
- [MeriTalk – CISA tells feds to redouble FIRESTARTER malware mitigation efforts](https://www.meritalk.com/articles/cisa-tells-feds-to-redouble-firestarter-malware-mitigation-efforts/)
- [The Hacker News – FIRESTARTER Backdoor Hit Federal Cisco](https://thehackernews.com/2026/04/firestarter-backdoor-hit-federal-cisco.html)
- [SecurityWeek – US Federal Agency’s Cisco Firewall Infected with FIRESTARTER Backdoor](https://www.securityweek.com/us-federal-agencys-cisco-firewall-infected-with-firestarter-backdoor/)
- [BleepingComputer – FIRESTARTER Malware Survives Cisco Firewall Updates, Security Patches](https://www.bleepingcomputer.com/news/security/firestarter-malware-survives-cisco-firewall-updates-security-patches/)
- [Cisco Talos Intelligence – UAT-4356 FIRESTARTER](https://blog.talosintelligence.com/uat-4356-firestarter/)
Fonte: Articolo originale