B
今週中
Ciscoのファイアウォール（FirepowerおよびSecure Firewall）を標的としたカスタムマルウェア「Firestarter」
📌 一言でいうと
Ciscoのファイアウォール（FirepowerおよびSecure Firewall）を標的としたカスタムマルウェア「Firestarter」が発見されました。このマルウェアは、セキュリティパッチの適用やデバイスの再起動後も永続的に残留し、攻撃者が再度アクセス可能なバックドアとして機能します。攻撃者はCVE-2025-20333およびCVE-2025-20362の脆弱性を悪用して初期侵入したとされており、UAT-4356という脅威アクターによる活動と分析されています。
🏢影響範囲
Cisco FirepowerおよびSecure Firewall（Adaptive Security Appliance/Firepower Threat Defense）を利用している世界中の政府機関、企業、重要インフラ組織。
✅対応のポイント
1. Ciscoの公式アドバイザリを確認し、最新のセキュリティパッチを適用すること。2. パッチ適用後も、デバイスに不審なファイルやプロセス（LINAプロセスへの異常な接続等）が残っていないか整合性チェックを実施すること。3. 侵害が疑われる場合は、デバイスの完全な初期化またはハードウェアの交換を検討すること。
📧注意喚起メール例
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Ciscoファイアウォールにおける永続的マルウェア「Firestarter」への対応について
お疲れさまです。Cisco製品を標的とした高度な脅威に関する情報共有です。
■ 概要
Cisco FirepowerおよびSecure Firewallを標的としたマルウェア「Firestarter」が検出されました。本マルウェアはLINAプロセスに寄生し、OSのアップデートや再起動後も自動的に再インストールされる強力な永続性を備えています。初期侵入にはCVE-2025-20333およびCVE-2025-20362が利用された可能性があります。
■ 影響範囲
- Cisco Firepower / Cisco Secure Firewall
- Adaptive Security Appliance (ASA) / Firepower Threat Defense (FTD) ソフトウェア搭載機
■ 対応手順
1. 最新のセキュリティパッチおよびファームウェアを適用し、脆弱性を解消してください。
2. パッチ適用のみでは既存のバックドアを排除できないため、Ciscoが提供する検知ツールやログ分析を用いて、不審なプロセスの有無を確認してください。
3. 侵害が確認された場合は、設定のバックアップ後、デバイスのクリーンインストールを推奨します。
■ 参考情報
- CISA / NCSC アドバイザリ
- Cisco Talos Intelligence Group
対応優先度: 高
対応期限: 至急
お疲れさまです。Cisco製品を標的とした高度な脅威に関する情報共有です。
■ 概要
Cisco FirepowerおよびSecure Firewallを標的としたマルウェア「Firestarter」が検出されました。本マルウェアはLINAプロセスに寄生し、OSのアップデートや再起動後も自動的に再インストールされる強力な永続性を備えています。初期侵入にはCVE-2025-20333およびCVE-2025-20362が利用された可能性があります。
■ 影響範囲
- Cisco Firepower / Cisco Secure Firewall
- Adaptive Security Appliance (ASA) / Firepower Threat Defense (FTD) ソフトウェア搭載機
■ 対応手順
1. 最新のセキュリティパッチおよびファームウェアを適用し、脆弱性を解消してください。
2. パッチ適用のみでは既存のバックドアを排除できないため、Ciscoが提供する検知ツールやログ分析を用いて、不審なプロセスの有無を確認してください。
3. 侵害が確認された場合は、設定のバックアップ後、デバイスのクリーンインストールを推奨します。
■ 参考情報
- CISA / NCSC アドバイザリ
- Cisco Talos Intelligence Group
対応優先度: 高
対応期限: 至急
Subject: [Urgent] Persistence Malware 'Firestarter' targeting Cisco Firewalls
Dear Security Team,
We are sharing critical intelligence regarding a custom malware named 'Firestarter' targeting Cisco network security appliances.
■ Overview
Firestarter is a sophisticated backdoor targeting Cisco Firepower and Secure Firewall devices. It is designed to survive firmware updates and reboots by manipulating boot/mount files and hiding within log paths. It is attributed to threat actor UAT-4356 and likely exploits CVE-2025-20333 and CVE-2025-20362 for initial access.
■ Affected Scope
- Cisco Firepower / Cisco Secure Firewall
- Systems running Adaptive Security Appliance (ASA) or Firepower Threat Defense (FTD) software
■ Mitigation Steps
1. Apply the latest security patches and firmware updates immediately to close the initial entry vectors.
2. Perform a deep integrity check of the system; since the malware persists after patching, standard updates are insufficient to remove an existing infection.
3. If compromise is detected, a full factory reset or hardware replacement may be necessary to ensure complete eradication.
■ Reference
- CISA / NCSC Advisories
- Cisco Talos Intelligence Group
Priority: High
Deadline: Immediate
Dear Security Team,
We are sharing critical intelligence regarding a custom malware named 'Firestarter' targeting Cisco network security appliances.
■ Overview
Firestarter is a sophisticated backdoor targeting Cisco Firepower and Secure Firewall devices. It is designed to survive firmware updates and reboots by manipulating boot/mount files and hiding within log paths. It is attributed to threat actor UAT-4356 and likely exploits CVE-2025-20333 and CVE-2025-20362 for initial access.
■ Affected Scope
- Cisco Firepower / Cisco Secure Firewall
- Systems running Adaptive Security Appliance (ASA) or Firepower Threat Defense (FTD) software
■ Mitigation Steps
1. Apply the latest security patches and firmware updates immediately to close the initial entry vectors.
2. Perform a deep integrity check of the system; since the malware persists after patching, standard updates are insufficient to remove an existing infection.
3. If compromise is detected, a full factory reset or hardware replacement may be necessary to ensure complete eradication.
■ Reference
- CISA / NCSC Advisories
- Cisco Talos Intelligence Group
Priority: High
Deadline: Immediate