米英当局、シスコ製ファイアウォールに潜む国家支援ハッカーのバックドアを警告

シスコ製ファイアウォールに潜む持続的バックドア、米英当局が警告

米国と英国のサイバーセキュリティ当局は2026年5月8日、国家支援ハッカーがシスコのネットワークセキュリティ機器にカスタムバックドア「Firestarter」を埋め込み、ファームウェア更新や通常の再起動後も存続することを確認したと発表した。この脅威は少なくとも2025年後半から政府機関や重要インフラを標的とした攻撃キャンペーンの一環で、米国の連邦機関に対して緊急指令が発令された。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）と英国の国家サイバーセキュリティセンター（NCSC）は共同でマルウェア分析レポートを発表。シスコの脅威インテリジェンス部門「Talos」は、このバックドアを「UAT-4356」と呼ばれる脅威アクターに帰属させた。同グループは2024年に「ArcaneDoor」と呼ばれるスパイ活動キャンペーンを実施し、ネットワーク境界機器の侵害に関与していたことが判明している。

連邦機関のシスコFirepowerにFirestarterを確認

CISAは、米国の連邦政府機関のシスコFirepowerデバイスにFirestarterが埋め込まれていることを確認。同機関はネットワーク監視を通じて不審な接続を検知し、その後の調査でバックドアを発見した。この発見を受け、CISAは5月8日に緊急指令を更新。全ての連邦政府機関に対し、シスコファイアウォールのインフラを監査し、デバイスのメモリスナップショットを分析用に提出するよう義務付けた。

パッチ適用後も存続するバックドアの脅威

今回の緊急指令の主な懸念は、ハッカーがシスコのセキュリティパッチ適用後もデバイス上に存続できる点にある。UAT-4356は2025年9月にシスコがリリースした2つの脆弱性（CVE-2025-20333とCVE-2025-20362）を悪用して初期侵入を果たした。しかし、パッチ適用前に侵害されたデバイスでは、Firestarterが依然として潜伏している可能性がある。

Firestarterは、シスコのService Platformマウントリスト（デバイス起動時に実行されるプログラムを制御する構成ファイル）を操作することで永続性を確保する。デバイスが再起動や終了シグナルを受けると、マルウェアは自身をセカンダリロケーションにコピーし、マウントリストを書き換えてシステム再起動後に再起動させる。通常のソフトウェア再起動ではこの仕組みを削除できず、物理的な電源切断（ハードリブート）のみが永続メカニズムをメモリから完全に消去できるという。

LINAへの悪意あるコード注入でVPN認証を悪用

Firestarterは、シスコのAdaptive Security ApplianceおよびFirepower Threat Defenseソフトウェアのコアネットワーキング・ファイアウォールコード「LINA」に悪意あるシェルコードを注入する。このマルウェアは通常VPN認証に使用されるネットワークリクエストを傍受し、隠しトリガーシーケンスを含むリクエストを検知すると、攻撃者が供給したコードを実行。これにより、デバイスへのバックドアが確立される仕組みだ。

ArcaneDoorキャンペーンとの関連性

シスコTalosによると、Firestarterは過去に確認された「RayInitiator」と呼ばれる別のマルウェアと技術的類似性が高く、UAT-4356のツール群が共通の起源を持つ可能性が示唆されている。CISAが分析した連邦機関の事例では、攻撃者はまず「Line Viper」と呼ばれる別のマルウェアを使用してデバイスの構成、認証情報、暗号化キーにアクセス。その後、2025年9月のシスコパッチ適用前にFirestarterをインストールした。パッチ適用後もFirestarterは存続し、攻撃者はこれを再利用してさらなる侵害を実行した。

今後の対策と影響

CISAは連邦機関に対し、以下の対策を実施するよう求めている。

• 全てのシスコファイアウォールの包括的な監査実施
• デバイスメモリのスナップショット提出（5月9日まで）
• ハードリブートの実施（可能な場合）
• ネットワークトラフィックの継続的な監視強化

シスコは顧客に対し、最新の脅威インテリジェンス情報を確認し、必要に応じて追加のセキュリティ対策を講じるよう呼びかけている。また、企業や組織は、ネットワーク境界機器のセキュリティを再評価し、侵害の兆候がないか監視することが推奨される。

「このバックドアは、従来のセキュリティ対策を回避する高度な手法で設計されている。組織は、単にパッチを適用するだけでなく、侵害の兆候を積極的に監視し、デバイスの完全な再イメージングを検討すべきだ」
— CISA幹部