CISA telah mengeluarkan arahan darurat baru yang memesan lembaga federal AS untuk mengamankan perangkat Cisco Firewall mereka terhadap dua kekurangan yang telah dieksploitasi dalam serangan nol-hari.
Petunjuk Darurat 25-03 dikeluarkan untuk agensi Cabang Eksekutif Sipil Federal (FCEB) pada 25 September dan mengharuskan mereka untuk menambal CVE-2025-20333 Dan CVE-2025-20362 Kerentanan dalam Perangkat Lunak Perangkat Lunak Perangkat Keamanan Adaptif (ASA) dan Firewall Ancaman (FTD).
“Kampanye ini tersebar luas dan melibatkan mengeksploitasi kerentanan zero-hari untuk mendapatkan eksekusi kode jarak jauh yang tidak aautentikasi pada ASAS, serta memanipulasi memori read-only (ROM) untuk bertahan melalui reboot dan peningkatan sistem. Kegiatan ini menyajikan risiko yang signifikan terhadap jaringan korban,” Cisa memperingatkan hari ini.
“CISA mengarahkan agen untuk memperhitungkan semua perangkat Cisco ASA dan tenaga api, mengumpulkan forensik dan menilai kompromi melalui prosedur dan alat yang disediakan CISA, memutuskan perangkat pendukung akhir, dan meningkatkan perangkat yang akan tetap melayani.”
Badan Keamanan Cybersecurity AS sekarang mengharuskan semua lembaga FCEB untuk mengidentifikasi semua peralatan Cisco ASA dan Firepower di jaringan mereka, lepaskan semua perangkat yang dikompromikan Dari jaringan, dan tambahkan mereka yang tidak menunjukkan tanda -tanda aktivitas jahat pada pukul 12 siang EDT pada 26 September.
Selain itu, CISA memerintahkan bahwa agensi harus secara permanen memutuskan perangkat ASA yang mencapai akhir dukungan pada 30 September dari jaringan mereka.
Pusat Keamanan Cyber Nasional Inggris (NCSC) mengatakan Para penyerang menargetkan perangkat seri 5500-X tanpa boot aman diaktifkan untuk menggunakan line viper mode pengguna shellcode pemuat malware dan grub bootkit dijuluki ‘rayinitiator’ (yang dapat bertahan dari reboot dan peningkatan firmware) “untuk menanamkan malware, menjalankan perintah, dan berpotensi menjijikkan dari data yang dikompromikan.”
Eksploitasi terkait dengan kampanye Arcanedoor
Cisco telah merilis pembaruan keamanan Untuk mengatasi dua kelemahan keamanan sebelumnya hari ini, dengan mengatakan bahwa CVE-2025-20333 dapat memungkinkan penyerang yang diautentikasi untuk mendapatkan eksekusi kode dari jarak jauh pada perangkat yang rentan, sementara CVE-2025-20362 memungkinkan aktor ancaman jarak jauh untuk mengakses titik akhir URL terbatas tanpa otentikasi.
Saat dirantai, kedua kerentanan dapat memungkinkan penyerang yang tidak aautentikasi untuk mendapatkan kendali penuh atas perangkat yang tidak ditandingi dari jarak jauh.
“Penyerang diamati telah mengeksploitasi beberapa kerentanan nol-hari dan menggunakan teknik penghindaran lanjutan seperti menonaktifkan logging, mencegat perintah CLI, dan secara sengaja menabrak perangkat untuk mencegah analisis diagnostik,” Kata Cisco hari inimenambahkan bahwa serangan tersebut menargetkan perangkat seri 5500-X dengan layanan web VPN diaktifkan.
“Selama analisis forensik kami dari perangkat yang dikompromikan yang dikonfirmasi, dalam beberapa kasus, Cisco telah mengamati aktor ancaman yang memodifikasi Rommon untuk memungkinkan kegigihan di seluruh reboot dan peningkatan perangkat lunak.”
CISA dan Cisco mengaitkan serangan yang sedang berlangsung ini ke Kampanye Arcanedooryang mengeksploitasi dua ASA dan FTD nol-days lainnya (CVE-2024-20353 Dan CVE-2024-20359) untuk melanggar jaringan pemerintah di seluruh dunia sejak November 2023.
Cisco menjadi sadar akan serangan Arcanedoor pada awal Januari 2024 dan menemukan bukti bahwa kelompok ancaman UAT4356 di belakang kampanye (dilacak sebagai Storm-1849 oleh Microsoft) telah menguji dan mengembangkan eksploitasi untuk dua hari nol sejak setidaknya Juli 2023.
Dalam serangan itu, peretas yang sebelumnya tidak diketahui Penari Garis pemuatan shellcode in-memory dan Line Runner malware backdoor untuk mempertahankan kegigihan pada perangkat Cisco yang dikompromikan.
Pada hari Jumat, Cisco menambal kerentanan kritis ketiga (CVE-2025-20363) Dalam perangkat lunak Firewall dan Cisco IOS, yang dapat memungkinkan para aktor ancaman yang tidak aautentikasi untuk menjalankan kode sewenang -wenang dari jarak jauh pada perangkat yang tidak ditandingi.
Namun, perusahaan tidak secara langsung menghubungkannya dengan serangan ini dalam penasihat hari ini, dengan mengatakan bahwa tim respons insiden keamanan produknya “tidak mengetahui adanya pengumuman publik atau penggunaan kerentanan yang berbahaya.”
