FIRSTARTER: la porte arrière qui persiste dans Cisco Firepower ASA malgré les patchs et les redémarrages

Un récent avertissement des agences de sécurité internationales a révélé une intrusion qui devrait être considérée comme un appel à l'attention des administrateurs de réseaux et des responsables de la cybersécurité : Cisco Firepower / ASA dispositifs ont été ciblés par une porte arrière baptisée comme FIRESTORTRE qui permet un accès et une survie persistants après mise à jour si des recours médico-légaux adéquats ne sont pas appliqués. Selon les agences, les attaquants ont profité de défaillances déjà garées dans l'interface WebVPN pour insérer du code dans le processus LINA - le moteur de traitement central et les fonctions de sécurité - et charger ainsi un second outil post-opération appelé LINE VIPER, utilisé pour exécuter les commandes CLI, capturer les paquets, éviter l'authentification VPN et supprimer les enregistrements.

Techniquement, ce que cet implant fait est d'installer comme un binaire ELF dans le démarrage de l'appareil et de manipuler la liste d'assemblage de démarrage pour réactiver dans chaque redémarrage ordinaire; par conséquent, les mises à jour du firmware ne garantissent pas sa suppression. En outre, les rapports décrivent un vecteur d'entrée basé sur des requêtes WebVPN spécialement construites contenant une sorte de "paquet magique" capable de livrer du shellcode au processus LINA. Ce mélange de vecteur d'accès, de crochet dans le processus critique et de persistance dans la chaîne de démarrage rappelle les techniques de bootkits documentées précédemment, ce qui augmente le niveau de sophistication des intrus.

Les implications sont claires et graves : une application de périmètre compromise non seulement permet l'espionnage et le pivotement au sein du réseau, mais peut servir de plate-forme de rentrée même si des correctifs sont appliqués plus tard. Pour les organisations utilisant ces équipements dans des fonctions VPN, inspection de la circulation ou périmètre critique, la recommandation de supposer que la configuration et les qualifications de l'appareil sont compromises doit être immédiate, ce qui comprend de considérer toutes les configurations comme des titres et des certificats non fiables et tournants après l'assainissement.

En ce qui concerne la réponse opérationnelle, trois points doivent être compris sans ambiguïté : premièrement, un redémarrage normal n'élimine pas ce type d'implantation; deuxièmement, certains fournisseurs indiquent qu'un redémarrage à froid (débranchement physique de l'alimentation et rebranchement) peut nettoyer temporairement le composant résident; et troisièmement, le seul moyen fiable d'éliminer la persistance documentée est d'éliminer la persistance documentée. reimagine ou réinstalle complètement l'appareil et vérifie l'intégrité de l'image ou le remplacer s'il n'existe aucune garantie légale valide. Dans les incidents confirmés, il est essentiel de conserver les preuves médico-légales avant de supprimer les dispositifs et de coordonner avec le fournisseur et les autorités compétentes.

Du point de vue de la détection, ne comptez pas seulement sur les syslogs de l'équipement affecté parce que les attaquants peuvent les retirer; dirigez l'enregistrement et la télémétrie vers des serveurs externes et immuables, surveillez le comportement du processus et les appels de base liés à LINA, et recherchez des signes indirects tels que le trafic de sortie inhabituel, sautez les connexions à travers des nœuds intermédiaires, des pics dans les captures de paquets ou des changements à la table de routage. Il est également recommandé d'inspecter les dispositifs de gestion avec les outils d'intégrité des fichiers et de comparer les signatures du firmware avec les sources officielles.

Au niveau tactique et immédiat, appliquer des correctifs dès que possible pour fermer les vecteurs connus, en toute sécurité et appliquer des contrôles d'accès stricts au plan de gestion (ACL, accès aux hôtes de saut, VPN avec MFA), limiter l'exposition au WebVPN et d'autres services administratifs à des plages IP minimales, et préparer un plan opérationnel pour réimaginer ou remplacer les applications compromises. Pour les réseaux critiques, envisager d'autres mesures comme la surveillance passive avec des sondes indépendantes, des listes blanches pour les processus d'application et des politiques de rotation des clés et des certificats après confinement.

Cette affaire s'inscrit également dans une tendance plus marquée : les acteurs avec des liens étatiques présumés ont profité de réseaux massifs de dispositifs SOHO et IoT comme proxies et nœuds de transit pour cacher leur provenance et rendre l'attribution difficile. La coexistence de botnets d'équipement domestique avec des campagnes visant des infrastructures critiques rend l'écosystème des menaces dynamiques et difficiles à bloquer avec des listes de PI simples. Il est donc essentiel de combiner une défense approfondie, un suivi continu et une collaboration entre opérateurs, fournisseurs et organismes d'intervention.

Pour les responsables de la coordination des interventions et des politiques, il est essentiel de documenter les procédures d'isolement, de conserver les éléments de preuve, d'aviser les autorités et le fournisseur et de planifier la communication avec les intervenants. À moyen terme, examiner les accords sur le cycle de vie avec les fabricants, exiger des capacités de télémétrie sécurisées et des mesures de démarrage fiables, et envisager des stratégies de remplacement lorsque le risque d'engagement du firmware ne peut être quantifié en toute sécurité.

La communauté peut trouver des ressources de référence et d'orientation sur les pages officielles des agences et fournisseurs concernés, par exemple le site Web de l'Agence américaine de sécurité des infrastructures. États-Unis. ( https: / / www.cisa.gov) et les portails et produits de sécurité de Cisco pour les guides d'avertissement et d'atténuation ( https: / / www.cisco.com / c / en / nous / produits / sécurité /). Le National Cyber Security Office du Royaume-Uni publie également des analyses et des recommandations utiles sur les tactiques et les engagements des acteurs de l'État en matière de réseau ( https: / / www.ncsc.gov.uk).

En résumé, cet incident montre que le patching est nécessaire mais pas suffisant : face aux vulnérabilités exploitées pour atteindre la persistance au niveau du démarrage, les organisations doivent augmenter leur réponse, prendre des engagements étendus en matière de confinement et de rétablissement et renforcer les pratiques de détection et de sécurité de la chaîne de démarrage afin de réduire le risque de réadmission et d'espionnage durable.