FIRESTARTER Backdoor
ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨੇ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ ਕਿ ਸਤੰਬਰ 2025 ਵਿੱਚ ਇੱਕ ਅਣਜਾਣ ਸੰਘੀ ਨਾਗਰਿਕ ਏਜੰਸੀ ਨਾਲ ਇੱਕ ਸਮਝੌਤਾ ਹੋਇਆ ਸੀ ਜਿਸ ਵਿੱਚ ਅਡੈਪਟਿਵ ਸੁਰੱਖਿਆ ਉਪਕਰਣ (ASA) ਸੌਫਟਵੇਅਰ ਚਲਾ ਰਹੇ ਇੱਕ ਸਿਸਕੋ ਫਾਇਰਪਾਵਰ ਡਿਵਾਈਸ ਸ਼ਾਮਲ ਸੀ। ਜਾਂਚਕਰਤਾਵਾਂ ਨੇ FIRESTARTER ਨਾਮਕ ਇੱਕ ਪਹਿਲਾਂ ਤੋਂ ਗੈਰ-ਦਸਤਾਵੇਜ਼ੀ ਮਾਲਵੇਅਰ ਸਟ੍ਰੇਨ ਦੀ ਪਛਾਣ ਕੀਤੀ, ਜੋ ਪ੍ਰਭਾਵਿਤ ਸਿਸਟਮਾਂ 'ਤੇ ਗੁਪਤ ਰਿਮੋਟ ਪਹੁੰਚ ਅਤੇ ਲੰਬੇ ਸਮੇਂ ਦੇ ਨਿਯੰਤਰਣ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ।
ਇਹ ਘੁਸਪੈਠ ਇੱਕ ਐਡਵਾਂਸਡ ਪਰਸਿਸਟੈਂਟ ਥਰੇਟ (APT) ਸਮੂਹ ਦੁਆਰਾ ਚਲਾਈ ਗਈ ਇੱਕ ਵਿਸ਼ਾਲ ਮੁਹਿੰਮ ਦਾ ਹਿੱਸਾ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਜੋ ਸਿਸਕੋ ASA ਫਰਮਵੇਅਰ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੀ ਹੈ ਜੋ ਜਾਣੀਆਂ-ਪਛਾਣੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਕੀਤੀ ਗਈ ਸੀ ਜਿਨ੍ਹਾਂ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਪੈਚ ਕੀਤਾ ਗਿਆ ਸੀ।
ਵਿਸ਼ਾ - ਸੂਚੀ
ਉੱਚ-ਜੋਖਮ ਵਾਲੇ ਸਿਸਕੋ ਕਮਜ਼ੋਰੀਆਂ ਰਾਹੀਂ ਸ਼ੁਰੂਆਤੀ ਘੁਸਪੈਠ
ਧਮਕੀ ਦੇਣ ਵਾਲਿਆਂ ਨੇ ਕਥਿਤ ਤੌਰ 'ਤੇ ਦੋ ਗੰਭੀਰ ਸਿਸਕੋ ਸੁਰੱਖਿਆ ਖਾਮੀਆਂ ਦਾ ਫਾਇਦਾ ਉਠਾਉਂਦੇ ਹੋਏ ਖੁੱਲ੍ਹੇ ਡਿਵਾਈਸਾਂ ਵਿੱਚ ਪ੍ਰਵੇਸ਼ ਕੀਤਾ:
- CVE-2025-20333 (CVSS 9.9): ਗਲਤ ਇਨਪੁੱਟ ਪ੍ਰਮਾਣਿਕਤਾ, ਜੋ ਇੱਕ ਪ੍ਰਮਾਣਿਤ ਰਿਮੋਟ ਹਮਲਾਵਰ ਨੂੰ ਵੈਧ VPN ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਵਾਲੇ, ਤਿਆਰ ਕੀਤੇ HTTP ਬੇਨਤੀਆਂ ਰਾਹੀਂ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਮਨਮਾਨੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।
- CVE-2025-20362 (CVSS 6.5): ਗਲਤ ਇਨਪੁੱਟ ਪ੍ਰਮਾਣਿਕਤਾ ਇੱਕ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਰਿਮੋਟ ਹਮਲਾਵਰ ਨੂੰ ਤਿਆਰ ਕੀਤੇ HTTP ਬੇਨਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਤਿਬੰਧਿਤ URL ਐਂਡਪੁਆਇੰਟਸ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।
ਹਾਲਾਂਕਿ ਪੈਚ ਉਪਲਬਧ ਹਨ, ਪਰ ਸੁਧਾਰ ਤੋਂ ਪਹਿਲਾਂ ਟੁੱਟੇ ਹੋਏ ਸਿਸਟਮਾਂ ਨਾਲ ਸਮਝੌਤਾ ਹੋ ਸਕਦਾ ਹੈ।
ਫਾਇਰਸਟਾਰਟਰ ਸਥਾਈ ਪੋਸਟ-ਪੈਚ ਪਹੁੰਚ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ
FIRESTARTER ਫਰਮਵੇਅਰ ਅੱਪਗ੍ਰੇਡਾਂ ਅਤੇ ਸਟੈਂਡਰਡ ਰੀਬੂਟਸ ਤੋਂ ਬਚਣ ਦੀ ਆਪਣੀ ਯੋਗਤਾ ਲਈ ਪ੍ਰਸਿੱਧ ਹੈ। ਮਾਲਵੇਅਰ ਡਿਵਾਈਸ ਦੇ ਮਾਊਂਟ ਕ੍ਰਮ ਨੂੰ ਸੋਧ ਕੇ ਆਪਣੇ ਆਪ ਨੂੰ ਸਟਾਰਟਅੱਪ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਵੀ ਉਪਕਰਣ ਆਮ ਤੌਰ 'ਤੇ ਰੀਬੂਟ ਹੁੰਦਾ ਹੈ ਤਾਂ ਆਟੋਮੈਟਿਕ ਰੀਐਕਟੀਵੇਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
ਸਿਰਫ਼ ਇੱਕ ਹਾਰਡ ਪਾਵਰ ਚੱਕਰ ਹੀ ਇਮਪਲਾਂਟ ਨੂੰ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਰੋਕ ਸਕਦਾ ਹੈ। ਸਟੈਂਡਰਡ ਸ਼ਟਡਾਊਨ, ਰੀਲੋਡ, ਜਾਂ ਰੀਬੂਟ ਕਮਾਂਡਾਂ ਇਸਨੂੰ ਨਹੀਂ ਹਟਾਉਂਦੀਆਂ। ਖੋਜਕਰਤਾਵਾਂ ਨੇ FIRESTARTER ਅਤੇ RayInitiator ਵਜੋਂ ਜਾਣੇ ਜਾਂਦੇ ਇੱਕ ਪੁਰਾਣੇ ਬੂਟਕਿੱਟ ਵਿਚਕਾਰ ਸਮਾਨਤਾਵਾਂ ਨੂੰ ਵੀ ਨੋਟ ਕੀਤਾ।
LINA ਹੁੱਕਿੰਗ ਰਾਹੀਂ ਡੂੰਘੀ ਸਿਸਟਮ ਹੇਰਾਫੇਰੀ
ਜਾਂਚਕਰਤਾਵਾਂ ਨੇ ਪਾਇਆ ਕਿ FIRESTARTER LINA ਦੇ ਅੰਦਰ ਇੱਕ ਹੁੱਕ ਲਗਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ Cisco ASA ਨੈੱਟਵਰਕ ਪ੍ਰੋਸੈਸਿੰਗ ਅਤੇ ਸੁਰੱਖਿਆ ਕਾਰਜਾਂ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਕੋਰ ਇੰਜਣ ਹੈ। ਇਹ ਹੇਰਾਫੇਰੀ ਹਮਲਾਵਰਾਂ ਨੂੰ ਆਮ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਰੋਕਣ ਅਤੇ ਇੱਕ ਅਖੌਤੀ 'ਮੈਜਿਕ ਪੈਕੇਟ' ਵਾਲੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ WebVPN ਪ੍ਰਮਾਣੀਕਰਨ ਬੇਨਤੀਆਂ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਮਨਮਾਨੇ ਸ਼ੈੱਲਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।
ਇਹ ਵਿਧੀ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਪੈਚ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ ਵੀ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਜਾਰੀ ਰੱਖਣ ਦੇ ਯੋਗ ਬਣਾਉਂਦੀ ਹੈ।
ਲਾਈਨ ਵਾਈਪਰ ਟੂਲਕਿੱਟ ਹਮਲਾਵਰ ਸਮਰੱਥਾਵਾਂ ਦਾ ਵਿਸਤਾਰ ਕਰਦੀ ਹੈ
ਉਸੇ ਘਟਨਾ ਦੌਰਾਨ, ਆਪਰੇਟਰਾਂ ਨੇ LINE VIPER ਨਾਮਕ ਇੱਕ ਸ਼ੋਸ਼ਣ ਤੋਂ ਬਾਅਦ ਦਾ ਢਾਂਚਾ ਤੈਨਾਤ ਕੀਤਾ, ਜਿਸਨੇ ਸਮਝੌਤਾ ਕੀਤੇ ਵਾਤਾਵਰਣ ਉੱਤੇ ਨਿਯੰਤਰਣ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਰੂਪ ਵਿੱਚ ਵਧਾਇਆ। ਟੂਲਕਿੱਟ ਨੂੰ ਹੇਠ ਲਿਖੀਆਂ ਕਾਰਵਾਈਆਂ ਕਰਦੇ ਦੇਖਿਆ ਗਿਆ:
- CLI ਕਮਾਂਡਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ
- ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਕੈਪਚਰ ਕਰਨਾ
- ਹਮਲਾਵਰ-ਨਿਯੰਤਰਿਤ ਡਿਵਾਈਸਾਂ ਲਈ VPN ਪ੍ਰਮਾਣੀਕਰਨ, ਅਧਿਕਾਰ ਅਤੇ ਲੇਖਾਕਾਰੀ (AAA) ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ
- ਸਿਸਲੌਗ ਚੇਤਾਵਨੀਆਂ ਨੂੰ ਦਬਾਉਣਾ
- ਹਾਰਵੈਸਟਿੰਗ ਐਡਮਿਨਿਸਟ੍ਰੇਟਰ CLI ਗਤੀਵਿਧੀ
- ਦੇਰੀ ਨਾਲ ਸਿਸਟਮ ਰੀਬੂਟ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਨਾ
LINE VIPER ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੇ ਗਏ ਉੱਚੇ ਅਧਿਕਾਰਾਂ ਨੇ 25 ਸਤੰਬਰ, 2025 ਤੋਂ ਪਹਿਲਾਂ FIRESTARTER ਦੀ ਤਾਇਨਾਤੀ ਲਈ ਰਾਹ ਪੱਧਰਾ ਕੀਤਾ ਹੈ। ਹਮਲਾਵਰ ਪਿਛਲੇ ਮਹੀਨੇ ਵਾਂਗ ਹੀ ਡਿਵਾਈਸ 'ਤੇ ਵਾਪਸ ਆਉਣ ਦੇ ਯੋਗ ਸਨ।
ਵਿਆਪਕ ਜਾਸੂਸੀ ਕਾਰਜਾਂ ਦੇ ਲਿੰਕ
UAT4356, ਜਿਸਨੂੰ Storm-1849 ਵੀ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਦੇ ਤਹਿਤ ਸ਼ੋਸ਼ਣ ਨੂੰ ਟਰੈਕ ਕਰਨ ਵਾਲੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇਸ ਗਤੀਵਿਧੀ ਨੂੰ ਪਹਿਲਾਂ ਦੀਆਂ ਮੁਹਿੰਮਾਂ ਨਾਲ ਜੋੜਿਆ। ਮਈ 2024 ਦੇ ਪਿਛਲੇ ਮੁਲਾਂਕਣਾਂ ਨੇ ਚੀਨ ਨਾਲ ਸੰਭਾਵਿਤ ਸਬੰਧਾਂ ਦਾ ਸੁਝਾਅ ਦਿੱਤਾ।
ਇਹ ਕਲੱਸਟਰ ਪਹਿਲਾਂ ArcaneDoor ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਸੀ, ਇੱਕ ਮੁਹਿੰਮ ਜਿਸਨੇ ਦੋ ਸਿਸਕੋ ਜ਼ੀਰੋ-ਡੇ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਕੇ ਖੋਜ ਅਤੇ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਇੰਟਰਸੈਪਸ਼ਨ ਲਈ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਕਸਟਮ ਮਾਲਵੇਅਰ ਨੂੰ ਤੈਨਾਤ ਕੀਤਾ ਸੀ।
ਪ੍ਰਭਾਵਿਤ ਸੰਗਠਨਾਂ ਲਈ ਮਹੱਤਵਪੂਰਨ ਉਪਾਅ ਉਪਾਅ
ਸੁਰੱਖਿਆ ਪੇਸ਼ੇਵਰ ਜ਼ੋਰਦਾਰ ਸਲਾਹ ਦਿੰਦੇ ਹਨ ਕਿ ਸਿਸਕੋ ਸਿਕਿਓਰ ਏਐਸਏ ਜਾਂ ਫਾਇਰਪਾਵਰ ਥ੍ਰੈਟ ਡਿਫੈਂਸ (ਐਫਟੀਡੀ) ਪਲੇਟਫਾਰਮਾਂ ਨਾਲ ਸਬੰਧਤ ਕਿਸੇ ਵੀ ਪੁਸ਼ਟੀ ਕੀਤੇ ਸਮਝੌਤੇ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਭਰੋਸੇ ਦੀ ਅਸਫਲਤਾ ਮੰਨਿਆ ਜਾਵੇ। ਮੌਜੂਦਾ ਡਿਵਾਈਸ ਕੌਂਫਿਗਰੇਸ਼ਨਾਂ ਨੂੰ ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਮੰਨਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।
FIRESTARTER ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਖਤਮ ਕਰਨ ਲਈ, ਸੰਗਠਨਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਡਿਵਾਈਸਾਂ ਨੂੰ ਦੁਬਾਰਾ ਇਮੇਜ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਸਿਸਕੋ ਦੇ ਫਿਕਸਡ ਸੌਫਟਵੇਅਰ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਅਪਗ੍ਰੇਡ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਜਦੋਂ ਤੱਕ ਰੀਇਮੇਜਿੰਗ ਪੂਰੀ ਨਹੀਂ ਹੋ ਜਾਂਦੀ, ਉਪਕਰਣ ਨੂੰ ਸਰੀਰਕ ਤੌਰ 'ਤੇ ਡਿਸਕਨੈਕਟ ਕਰਕੇ ਅਤੇ ਪਾਵਰ ਨੂੰ ਦੁਬਾਰਾ ਕਨੈਕਟ ਕਰਕੇ ਇੱਕ ਕੋਲਡ ਰੀਸਟਾਰਟ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਕਿਉਂਕਿ ਸਾਫਟਵੇਅਰ-ਅਧਾਰਤ ਰੀਬੂਟ ਕਮਾਂਡਾਂ ਸਥਾਈ ਇਮਪਲਾਂਟ ਨੂੰ ਨਹੀਂ ਹਟਾਉਂਦੀਆਂ।
