Агентство кибербезопасности США выявило вредоносное ПО Firestarter в правительственной сети

Агентство по кибербезопасности и защите инфраструктуры США (CISA) совместно с британским Национальным центром кибербезопасности (NCSC) сообщило об обнаружении ранее неизвестного бэкдора, получившего название Firestarter. Вредоносная программа была использована для атаки на одну из организаций в составе федеральных органов исполнительной власти США.

Особенности атаки и цели злоумышленников

Вредоносное ПО Firestarter ориентировано на сетевое оборудование Cisco, в частности на межсетевые экраны серий Secure Firewall Adaptive Security Appliance (ASA) и Secure Firewall Threat Defense (FTD). Согласно отчету, злоумышленники смогли закрепиться в скомпрометированной системе с помощью устройства Cisco Firepower, на котором было установлено программное обеспечение ASA.

Эксперты отмечают высокий уровень сложности инструмента: Firestarter обеспечивает устойчивый доступ к сети даже после установки обновлений безопасности на оборудование. Это позволяет атакующим возвращаться в систему без необходимости повторного поиска уязвимостей.

Рекомендации по защите

Хотя в данный момент подтвержден факт атаки лишь на одно ведомство, специалисты предполагают, что инцидент является частью масштабной кампании, направленной на государственные структуры и объекты критической инфраструктуры. Всем организациям в США и Великобритании рекомендуется принять превентивные меры безопасности.

• Провести анализ памяти устройств через дампы ядра или образы дисков.
• Использовать правила YARA для обнаружения следов вредоносного ПО.
• В случае обнаружения подозрительной активности собрать доказательства и передать их в профильные ведомства для анализа.

Связь с другими киберугрозами

Инцидент с Firestarter связывают с группировкой, известной под внутренним идентификатором UAT-4356. Несмотря на то что компания Cisco классифицирует действия группы как поддерживаемые на государственном уровне, официальные обвинения в адрес конкретных стран пока не выдвинуты. Данная активность совпадает по времени с серией предупреждений спецслужб о создании скрытых сетей, использующих потребительские маршрутизаторы для проведения кибератак.

Ранее CISA также выпускала рекомендации по устранению других критических уязвимостей в продуктах Cisco, включая CVE-2025-20333, получившую оценку 9.9 из 10 по шкале критичности, и CVE-2025-20362, оцененную в 6.5 баллов.

Твитнуть