Backdoor FIRESTARTER persiste em firewall Cisco federal; CISA exige correção emergencial

Em um lembrete contundente de que as ameaças cibernéticas modernas superam as defesas tradicionais, pesquisadores de segurança descobriram uma sofisticada campanha de backdoor direcionada a um appliance Cisco Firepower de uma agência federal. Batizado de 'FIRESTARTER', o malware demonstra uma capacidade alarmante de persistir através de atualizações do sistema operacional e patches de segurança, estabelecendo um novo padrão para ameaças persistentes avançadas (APTs).

De acordo com a investigação, o comprometimento inicial aproveitou uma vulnerabilidade de dia zero na interface de gerenciamento web do firewall. Uma vez dentro, os atacantes implantaram um módulo de kernel personalizado que se conecta ao processo de inicialização do dispositivo, garantindo que o backdoor seja recarregado mesmo após uma restauração completa do sistema ou uma atualização de firmware. Esse mecanismo de persistência é particularmente preocupante para redes federais onde os appliances Cisco Firepower são amplamente implantados no perímetro da rede.

O backdoor FIRESTARTER se comunica com um servidor remoto de comando e controle (C2) usando túneis DNS-over-HTTPS (DoH) criptografados, misturando tráfego malicioso com atividade legítima da rede. Ele pode exfiltrar dados sensíveis, implantar cargas úteis adicionais e pivotar para sistemas internos. O malware também inclui capacidades anti-forenses que apagam logs e desativam agentes de monitoramento de segurança.

Concomitantemente, a Agência de Segurança de Infraestrutura e Cibersegurança (CISA) adicionou quatro vulnerabilidades ativamente exploradas ao seu catálogo de vulnerabilidades conhecidas exploradas (KEV), estabelecendo um prazo em maio de 2026 para que as agências federais apliquem correções. As falhas incluem:

• CVE-2025-3155: Uma vulnerabilidade de execução remota de código no software de suporte remoto SimpleHelp, amplamente utilizado para operações de help desk de TI.
• CVE-2025-2645: Uma falha de validação de entrada incorreta em dispositivos móveis Samsung que permite escalada de privilégios.
• CVE-2025-1892 e CVE-2025-1893: Duas vulnerabilidades de injeção de comandos em roteadores e dispositivos NAS da D-Link, que permitem a tomada completa do dispositivo.

Embora a campanha FIRESTARTER e o aviso da CISA sejam incidentes separados, eles compartilham um tema comum: os atacantes estão explorando lacunas no gerenciamento de patches e confiando em falhas conhecidas ou de dia zero para obter uma posição inicial. O caso FIRESTARTER demonstra que mesmo sistemas corrigidos podem permanecer comprometidos se os adversários implantaram backdoors persistentes. O aviso da CISA, por sua vez, destaca a importância de corrigir oportunamente as vulnerabilidades que já estão sendo exploradas ativamente.

Para os defensores, as principais conclusões são claras. Primeiro, a segmentação de rede e o monitoramento contínuo são essenciais, especialmente para dispositivos perimetrais como firewalls. Segundo, as organizações devem adotar uma postura de 'confiança zero' que assuma o comprometimento e verifique cada solicitação de acesso. Terceiro, os processos de gerenciamento de patches devem ser acelerados para vulnerabilidades listadas no catálogo KEV da CISA, pois representam ameaças ativas.

O backdoor FIRESTARTER foi vinculado a um grupo APT patrocinado por um estado conhecido por atacar infraestruturas críticas. Embora o escopo completo do comprometimento ainda esteja sob investigação, indicadores de comprometimento (IoCs) foram compartilhados com a comunidade de cibersegurança, incluindo domínios C2, hashes de arquivos e assinaturas de rede.

Em resposta, a Cisco publicou um aviso de segurança instando os clientes a atualizarem seus appliances Firepower para o firmware mais recente e revisarem os logs do sistema em busca de sinais de modificações não autorizadas. A empresa também está trabalhando em uma ferramenta para detectar o módulo do kernel FIRESTARTER.

À medida que o prazo de maio de 2026 se aproxima, as agências federais devem priorizar a correção das quatro vulnerabilidades KEV recém-listadas. No entanto, o incidente FIRESTARTER serve como um lembrete sóbrio de que patches são apenas uma camada de uma estratégia abrangente de cibersegurança. Monitoramento contínuo, caça a ameaças e prontidão para resposta a incidentes são igualmente críticos.

Este desenvolvimento duplo ressalta a natureza evolutiva das ameaças cibernéticas e a necessidade de uma defesa proativa baseada em inteligência. As organizações devem tratar esses eventos como um catalisador para reavaliar sua postura de segurança e investir em tecnologias que possam detectar e responder a ameaças avançadas, em vez de depender apenas de medidas preventivas.