FIRESTARTER: die Hintertür, die in Cisco Firepower ASA trotz Patches und Neustarts anhält

Eine kürzliche Warnung von internationalen Sicherheitsbehörden hat einen Einbruch erlitten, der als Aufruf zur Aufmerksamkeit für Netzwerkadministratoren und Cyber-Sicherheitsbeamte genommen werden sollte: Cisco Firepower / ASA Geräte wurden von einer Backdoor getauft als FIRESTOR die den dauerhaften Zugriff und das Überleben nach Updates ermöglicht, wenn keine ausreichenden forensischen Mittel angewendet werden. Laut den Agenturen nutzten die Angreifer bereits geparkte Fehler in der WebVPN-Schnittstelle, um Code in den LINA-Prozess einzufügen - die zentrale Verarbeitungsmaschine und Sicherheitsfunktionen - und laden so ein zweites Nachbearbeitungswerkzeug namens LINE VIPER, verwendet, um CLI-Befehle auszuführen, Pakete zu erfassen, VPN-Authentifizierung zu vermeiden und Datensätze zu löschen.

Technisch gesehen, was dieses Implantat tut, ist, als ELF-Binär im Boot des Geräts zu installieren und die Start-up-Montageliste zu manipulieren, um in jedem normalen Neustart wieder zu aktivieren; daher Firmware-Updates nicht garantieren, seine Entfernung. Darüber hinaus beschreiben die Berichte einen Eingabevektor, der auf speziell erstellten WebVPN-Anfragen basiert, die eine Art "Magic-Paket" enthalten, das Shellcode in den LINA-Prozess liefern kann. Diese Mischung aus Zugriffsvektor, Haken in den kritischen Prozess und Beharrlichkeit in der Boot-Kette erinnert bereits dokumentierte Bootkits Techniken, die das Niveau der Eindringlinge Raffinesse erhöht.

Die Implikationen sind klar und ernst: Eine kompromittierte Perimeterapplikation erlaubt nicht nur Spionage und Schwenken innerhalb des Netzwerks, sondern kann auch bei späteren Patches als Reentry-Plattform dienen. Für Organisationen, die diese Geräte in VPN-Funktionen, Verkehrsinspektion oder kritischen Umfang nutzen, die Empfehlung anzunehmen, dass die Konfiguration und Anmeldeinformationen des Geräts beeinträchtigt werden muss umgehend sein; das beinhaltet, alle Konfigurationen als unzuverlässige und rotierende Anmeldeinformationen und Zertifikate nach Abhilfe zu betrachten.

Was die betriebliche Reaktion betrifft, gibt es drei Punkte, die ohne Mehrdeutigkeit verstanden werden müssen: Erstens, ein normaler Neustart beseitigt diese Art der Implantation nicht; zweitens, einige Lieferanten zeigen, dass ein kalter Neustart (physisch Trennen des Futters und Wiederverbindung) die wohnhafte Komponente vorübergehend reinigen kann; und drittens ist die einzige zuverlässige Möglichkeit, dokumentierte Persistenz zu beseitigen, die dokumentierte Persistenz zu entfernen. das Gerät vollständig neu installieren oder neu installieren und die Integrität des Bildes überprüfen oder ersetzen, wenn es keine gültigen forensischen Garantien gibt. Bei bestätigten Vorfällen ist es unerlässlich, vor dem Löschen von Geräten und der Koordinierung mit dem Lieferanten und den zuständigen Behörden forensische Beweise zu bewahren.

Aus der Sicht der Erkennung verlassen Sie sich nicht nur auf die Sysloge der betroffenen Ausrüstung, weil die Angreifer sie entfernen können; leiten Sie den Datensatz und die Telemetrie auf externe und unveränderliche Server, überwachen Prozessverhalten und Kernanrufe im Zusammenhang mit LINA und suchen Sie nach indirekten Zeichen wie ungewöhnlichen Ausgangsverkehr, Sprungverbindungen durch Zwischenknoten, Spikes in Paketanfängen oder Änderungen an der Routing-Tabelle. Es wird auch empfohlen, Management-Geräte mit File-Integrity-Tools zu überprüfen und Firmware-Signaturen mit offiziellen Quellen zu vergleichen.

Auf der taktischen und sofortigen Minderungsebene wenden Sie Patches so schnell wie möglich an, um bekannte Vektoren zu schließen, sichere und strenge Zugriffskontrollen auf die Managementebene (ACLs, Jump Hosts Access, VPN mit MFA) anzuwenden, WebVPN-Exposition und andere administrative Dienste auf minimale IP-Bereiche zu begrenzen und einen operativen Plan zur Reimaginierung oder Ersatz von gefährdeten Anwendungen vorzubereiten. Für kritische Netzwerke betrachten Sie zusätzliche Maßnahmen wie passive Überwachung mit unabhängigen Sonden, weiße Listen für Anwendungsprozesse und Schlüssel- und Zertifikatsrotationsrichtlinien nach Eindämmung.

Dieser Fall passt auch zu einem größeren Trend: Schauspieler mit angeblichen staatlichen Links haben massive Netzwerke von SOHO und IoT-Geräten als Proxies und Transit-Knoten genutzt, um ihre Provenienz zu verbergen und die Zuschreibung schwierig zu machen. Die Koexistenz von Botnets von heimischen Geräten mit Kampagnen auf kritische Infrastruktur macht das Ökosystem von Bedrohungen dynamisch und schwierig mit einfachen IP-Listen zu blockieren. Es ist daher von wesentlicher Bedeutung, tiefgreifende Verteidigung, kontinuierliche Überwachung und Zusammenarbeit zwischen Betreibern, Lieferanten und Antwortagenturen zu kombinieren.

Für diejenigen, die für die Koordinierung von Antwort und Politik verantwortlich sind, ist es unerlässlich, Isolationsverfahren zu dokumentieren, Beweise zu bewahren, Behörden und Lieferanten zu benachrichtigen und die Kommunikation mit den Interessenvertretern zu planen. mittelfristige Überprüfung von Lebenszyklusvereinbarungen mit Herstellern, erfordern sichere Telemetriefähigkeiten und zuverlässige Start-up-Maßnahmen und erwägen Ersatzstrategien, wenn das Firmware-Verpflichtungsrisiko nicht sicher quantifiziert werden kann.

Die Community kann Referenz- und Beratungsressourcen auf den offiziellen Seiten der jeweiligen Agenturen und Lieferanten finden, zum Beispiel auf der Website der US Infrastructure Security Agency. USA. ( http://www.cisa.gov) und Ciscos Sicherheitsportale und Produkte für Warn- und Minderungsführer ( https: / / www.cisco.com / c / en / uns / Produkte / Sicherheit /) Das UK National Cyber Security Office veröffentlicht auch nützliche Analysen und Empfehlungen zu den Taktiken und Netzwerkzusagen staatlicher Akteure ( http://www.ncsc.gov.uk)

Zusammenfassend zeigt dieser Vorfall, dass Patching notwendig, aber nicht ausreichend ist: angesichts der ausgenutzten Schwachstellen, um die Beharrlichkeit auf der Start-up-Ebene zu erreichen, müssen Organisationen ihre Antwort erhöhen, erweiterte Eindämmungs- und Rückforderungsverpflichtungen eingehen und die Erkennungs- und Sicherheitspraktiken der Start-up-Kette stärken, um das Risiko einer Wiedereintritts- und anhaltenden Spionage zu verringern.