Firewalls de Cisco afectados por Firestarter requieren un reinicio en frío para eliminar el backdoor persistente
Recientes análisis de ciberseguridad han desvelado una amenaza crítica dirigida a los firewalls Cisco Adaptive Security Appliance (ASA) y Firepower Threat Defense (FTD). El backdoor, identificado como Firestarter, permite a los atacantes obtener acceso persistente a la infraestructura de red y no puede erradicarse mediante un simple reinicio. Según expertos, la única solución efectiva exige un reinicio en frío de los dispositivos afectados.
¿Qué es el backdoor Firestarter?
Firestarter es un malware avanzado que aprovecha vulnerabilidades para instalarse en dispositivos Cisco ASA y FTD. Una vez activado, permite a los ciberatacantes evadir las medidas de seguridad convencionales y mantener sus privilegios incluso después de reinicios convencionales del equipo.
Métodos comunes de infección y persistencia
- Exploit de vulnerabilidades sin parchear: El ataque suele iniciarse aprovechando fallos de seguridad no solventados en las versiones de software de Cisco.
- Persistencia tras reinicio: A diferencia de otras amenazas, Firestarter sobrevive a los reinicios estándar, haciendo que los administradores crean falsamente haber eliminado la amenaza.
Cisco emite recomendaciones para erradicar Firestarter
De acuerdo con la información publicada por Cisco y analistas como Rapid7, la manera efectiva de desinfección es realizar un reinicio en frío (cold reboot), que implica desconectar físicamente el equipo de la corriente eléctrica antes de volver a encenderlo.
En ese sentido, Cisco recomienda a los responsables de sistemas:
- Desconectar el firewall de la red y la alimentación eléctrica.
- Esperar al menos 30 segundos antes de volver a conectar y encender el dispositivo.
- Tras el reinicio, actualizar el firmware a la última versión disponible y comprobar si existen configuraciones sospechosas o cambios inesperados.
Este procedimiento es esencial, ya que un reinicio habitual no elimina la persistencia del backdoor y podría dejar la infraestructura expuesta a nuevos ataques.
Importancia de la actualización y monitorización
El caso de Firestarter pone de manifiesto la necesidad de mantener los dispositivos de red actualizados, monitorizar actividad anómala y realizar análisis regulares de seguridad. Además, los responsables de infraestructuras críticas deben formar a sus equipos en la detección y respuesta frente a incidentes asociados a backdoors persistentes.
