Firewall Cisco sotto attacco: una nuova campagna prende di mira i device ASA
Il National Cyber Security Center (NCSC), agenzia di cybersicurezza del Regno Unito, ha segnalato la presenza di una nuova campagna malware in corso che prende di mira i firewall Cisco. Secondo quanto riportato dal NCSC, i cybercriminali stanno sfruttando le vulnerabilità dei dispositivi Adaptive Security Appliance (ASA) delle serie 5500-X per distribuire malware, eseguire comandi sui device ed esfiltrare dati.
Nel dettaglio, gli attaccanti hanno sfruttato tre vulnerabilità, di cui due critiche: la CVE-2025-20333, un bug che colpisce il web server VPN e consente l’esecuzione di codice da remoto; la CVE-2025-20363, una vulnerabilità che colpisce i servizi web dei firewall e consente l’esecuzione di codice anche a utenti con privilegi ristretti; infine, la CVE-2025-20362 che permette a un utente non autenticato di accedere a endpoint che non dovrebbero essere raggiungibili senza autenticazione.
In un report sugli incidenti, l’NCSC specifica che i cybercriminali stanno distribuendo RayInitiator, un bootkit multi-stage che persiste sui dispositivi anche dopo i riavvii e gli aggiornamenti del firmware.
RayInitiator serve per installare ed eseguire LINE VIPER, un loader shellcode in grado di eseguire comandi CLI, acquisire pacchetti, bypassare i controlli sugli accessi e sulle autorizzazioni degli utenti, sopprimere messaggi syslog, raccogliere comandi utente CLI e forzare il riavvio posticipato.
Non è la prima volta che i cybercriminali sfruttano le vulnerabilità di questi dispositivi Cisco in una campagna malware: all’inizio del 2024, la compagnia aveva segnalato una serie di attacchi che avevano preso di mira alcuni device con software ASA e Firepower Threat Defense. Sembra che gli stessi cybercriminali siano tornati all’attacco, questa volta distribuendo nuovo malware con tecniche più avanzate ed elusive.
“RayInitiator e LINE VIPER rappresentano un’evoluzione significativa rispetto alle tecniche usate nella campagna precedente, sia dal punto di vista della complessità che della capacità di eludere i controlli di sicurezza” ha avvertito l’NCSC.
L’Agenzia, insieme a Cisco, invita gli utenti ad aggiornare i dispositivi firewall vulnerabili o perlomeno applicare le mitigazioni consigliate, anche se solo come soluzione temporanea. L’NCSC avverte inoltre che alcuni modelli delle serie 5500-X non riceveranno più il supporto di sicurezza ed è quindi necessario sostituirli il prima possibile.
Altro in questa categoria