FIRESTARTER : APT persistant sur les pare-feu Cisco ASA

Ce qui s'est passé

La CISA et le NCSC britannique ont publié le 24 avril 2026 un rapport d'analyse conjoint consacré à FIRESTARTER, un backdoor sophistiqué visant les pare-feu Cisco ASA exécutant les firmwares Adaptive Security Appliance ou Firepower Threat Defense. La campagne FIRESTARTER Cisco ASA repose sur l'enchaînement de CVE-2025-20333 et CVE-2025-20362, deux vulnérabilités divulguées en septembre 2025 dans le firmware ASA, qui permettent respectivement l'exécution de code à distance et le contournement de l'authentification. Une fois l'accès obtenu, l'attaquant implante son code en mémoire, désactive la journalisation, intercepte les commandes de l'administrateur et modifie le processus de démarrage afin de survivre aux redémarrages comme aux mises à jour de firmware. Les deux agences attribuent l'opération à un acteur étatique disposant de moyens importants et recommandent aux organisations concernées d'appliquer sans délai les correctifs Cisco, puis de rechercher les indicateurs de compromission publiés.

Le degré de sophistication observé sur FIRESTARTER place ce groupe dans la même catégorie que les campagnes APT chinoises documentées récemment, comme GopherWhisper qui dissimule son C2 dans Discord.

Pourquoi c'est important

FIRESTARTER est conçu pour résister à la totalité des opérations de remédiation classiques. Le malware détecte les signaux de terminaison et se relance automatiquement, survit aux mises à jour de firmware et persiste après les reboots logiciels. Seule une coupure d'alimentation physique complète garantit son éradication — une opération impossible à conduire à distance et rarement compatible avec les contraintes de production sur des équipements de périmètre. La problématique fait écho aux récentes alertes sur l'exploitation active de Cisco SD-WAN Manager et les failles critiques sur Cisco ISE et Webex.

Le ciblage des pare-feu de bord transforme l'attaquant en interception man-in-the-middle permanente : tout trafic sortant ou entrant peut être inspecté, modifié, ou utilisé pour pivoter vers le système d'information interne. Les administrations, opérateurs d'importance vitale et grandes entreprises qui exposent du Cisco ASA en frontal sont en première ligne, particulièrement celles ayant déployé les correctifs sans procédure de vérification d'intégrité hors-bande. CISA recommande de considérer toute infrastructure ASA exposée avant septembre 2025 comme potentiellement compromise — une posture conforme aux ajouts récents au catalogue KEV de CISA.

Ce qu'il faut retenir

• L'application du patch ne suffit pas : les organisations ayant exposé du Cisco ASA avant septembre 2025 doivent supposer une compromission jusqu'à preuve du contraire.
• Procéder à un hard power cycle après audit, en complément des patchs, sur tous les équipements potentiellement touchés.
• Activer la collecte de logs vers un SIEM externe et comparer les hashes firmware aux références constructeur.
• Renforcer la segmentation réseau pour limiter le pivot depuis un pare-feu compromis vers les actifs internes.

Cette persistance au niveau du firmware n'est pas un cas isolé. Elle s'inscrit dans une escalade technique observée depuis 2024 sur les équipements de périmètre Cisco, débutée avec la campagne ArcaneDoor qui avait déjà démontré la capacité d'UAT-4356 à développer des implants sur mesure pour l'ASA. Entre 2024 et 2026, ce même acteur a progressivement déplacé son objectif : passer d'un accès ponctuel à une présence durable et invisible dans l'infrastructure réseau des organisations ciblées. Le rapport CISA-NCSC souligne que FIRESTARTER exploite des mécanismes internes du système d'exploitation Cisco ASA — notamment la gestion de la mémoire non volatile et les processus de démarrage — pour réinjecter ses composants malveillants à chaque cycle d'amorçage, y compris après un flashage complet du firmware effectué via les procédures standard du constructeur. Cette caractéristique distingue FIRESTARTER de la majorité des backdoors réseau documentés jusqu'ici, qui disparaissent généralement lors d'une réinitialisation complète ou d'une mise à jour majeure.

Sur le plan sectoriel, l'impact dépasse le seul périmètre fédéral américain. Les pare-feu Cisco ASA et Firepower équipent une part significative des infrastructures critiques occidentales — énergie, santé, finance, administrations territoriales — en raison de leur déploiement massif depuis plus d'une décennie. Cisco Talos évalue à plusieurs dizaines le nombre d'organisations potentiellement compromises par des variantes de cette famille d'implants depuis 2024, un chiffre que les agences gouvernementales jugent probablement sous-estimé compte tenu de la furtivité du malware. Le cas documenté de l'agence fédérale américaine illustre un scénario redouté par les équipes de réponse à incident : l'application rigoureuse d'une directive de sécurité (ED 25-03) et le déploiement des correctifs officiels n'ont pas suffi à expulser l'attaquant, qui a simplement réinstallé son implant une fois le correctif appliqué, sans avoir besoin de réexploiter la faille initiale. Ce constat remet en question la doctrine classique de remédiation fondée sur le seul patch management et pousse les experts à recommander une reconstruction complète des équipements compromis plutôt qu'une simple mise à jour, en particulier pour tout pare-feu ASA exposé publiquement entre septembre 2025 et la publication du correctif.