Staatsnahe Hacker nutzen Hintertüren in Cisco-Firewalls – selbst nach Updates

Eine staatlich unterstützte Hackergruppe hat eine maßgeschneiderte Hintertür in Cisco-Netzwerksicherheitsgeräten installiert, die selbst Firmware-Updates und Standard-Neustarts überdauert. Dies geht aus einer gemeinsamen Warnung US-amerikanischer und britischer Cyberbehörden hervor, die am Donnerstag veröffentlicht wurde. Die Kampagne zielt seit mindestens Ende 2023 auf Regierungsnetzwerke und kritische Infrastrukturen ab.

Firestarter: Die neue Malware mit Langzeitwirkung

Die Cybersecurity and Infrastructure Security Agency (CISA) und das britische National Cyber Security Centre (NCSC) veröffentlichten einen gemeinsamen Malware-Analysebericht, in dem die Hintertür unter dem Codenamen Firestarter identifiziert wird. Cisco Talos, die Bedrohungsintelligenz-Abteilung des Unternehmens, ordnet die Malware der Gruppe UAT-4356 zu. Diese wurde bereits für die Spionagekampagne ArcaneDoor im Jahr 2024 verantwortlich gemacht, bei der Netzwerkperimeter-Geräte kompromittiert wurden.

CISA entdeckte Firestarter auf einem Cisco Firepower-Gerät einer US-Bundesbehörde, nachdem verdächtige Netzwerkverbindungen durch kontinuierliche Überwachung auffielen. Als Reaktion darauf erließ die Behörde am Donnerstag eine aktualisierte Notfallrichtlinie, die alle zivilen Bundesbehörden verpflichtet, ihre Cisco-Firewall-Infrastruktur zu überprüfen und bis Freitag Speicherabbildungen der Geräte zur Analyse einzureichen.

Wie die Hintertür die Patches überlistet

Die größte Sorge der Behörden gilt der Fähigkeit der Angreifer, auf kompromittierten Geräten zu verbleiben – selbst nachdem Unternehmen die von Cisco im September 2025 veröffentlichten Sicherheitsupdates installiert hatten. Diese Updates schlossen zwei Schwachstellen (CVE-2025-20333 und CVE-2025-20362), die UAT-4356 ursprünglich ausnutzte, um Zugang zu erlangen. Laut CISA könnten Geräte, die vor dem Patch kompromittiert wurden, weiterhin die Schadsoftware beherbergen.

Firestarter sichert seine Persistenz, indem es die Cisco Service Platform Mount-Liste manipuliert – eine Konfigurationsdatei, die steuert, welche Programme während des Bootvorgangs ausgeführt werden. Bei einem Neustart oder einem Beendigungssignal kopiert sich die Malware in einen sekundären Speicherort und überschreibt die Mount-Liste, um sich nach dem Hochfahren des Systems erneut zu starten. Ein normaler Software-Neustart entfernt die Hintertür nicht. Nur ein Hard-Reset – das physische Trennen des Geräts von der Stromversorgung – kann den Persistenzmechanismus aus dem Speicher löschen, wie CISA und Cisco bestätigen.

Anschließend injiziert die Malware schädlichen Shellcode in LINA, den Kerncode der Cisco Adaptive Security Appliance und Firepower Threat Defense-Software. Dort fängt sie bestimmte Netzwerkanfragen ab, die normalerweise für VPN-Authentifizierungen genutzt werden. Enthält eine Anfrage eine versteckte Triggersequenz, führt sie vom Angreifer bereitgestellten Code aus und öffnet so eine Hintertür in das Gerät.

Verbindungen zu laufender Kampagne

Cisco Talos stellte fest, dass Firestarter erhebliche technische Ähnlichkeiten mit einer bereits dokumentierten Malware namens RayInitiator aufweist. Dies deutet darauf hin, dass beide Tools aus derselben Entwicklungslinie innerhalb der Gruppe UAT-4356 stammen.

In dem von CISA analysierten Vorfall bei der Bundesbehörde installierten die Angreifer zunächst eine separate Schadsoftware namens Line Viper, um Zugriff auf Gerätekonfigurationen, Anmeldedaten und Verschlüsselungsschlüssel zu erlangen. Kurz darauf folgte die Installation von Firestarter – noch bevor die betroffenen Geräte die Cisco-Patches aus September 2025 erhielten. Selbst nach dem Patch blieb die Hintertür aktiv, und die Angreifer nutzten sie anschließend, um weitere Angriffe durchzuführen.

Empfohlene Maßnahmen für betroffene Organisationen

• Durchführung einer vollständigen Überprüfung aller Cisco-Firewall-Geräte
• Einreichung von Speicherabbildungen zur Analyse bei CISA bis Freitag
• Durchführung eines Hard-Resets auf allen potenziell betroffenen Geräten
• Überprüfung der Netzwerkprotokolle auf verdächtige Aktivitäten
• Sofortige Anwendung aller verfügbaren Sicherheitsupdates