El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha revelado la explotación de fallas de seguridad recientemente divulgadas en firewalls Cisco como parte de ataques zero-day. Estos ataques despliegan familias de malware previamente no documentadas, incluyendo RayInitiator y LINE VIPER.
Cisco inició una investigación en mayo de 2025 sobre ataques a agencias gubernamentales dirigidos a dispositivos Adaptive Security Appliance (ASA) 5500-X Series. El objetivo era implantar malware, ejecutar comandos y potencialmente exfiltrar datos. El análisis reveló un fallo de corrupción de memoria en el software Cisco Secure Firewall ASA con servicios web VPN habilitados.
Los atacantes explotaron múltiples vulnerabilidades zero-day, empleando técnicas avanzadas de evasión como deshabilitar el registro, interceptar comandos CLI e incluso provocar fallos en los dispositivos para impedir el análisis diagnóstico.
Las vulnerabilidades explotadas son CVE-2025-20362 (CVSS 6.5) y CVE-2025-20333 (CVSS 9.9), permitiendo la omisión de autenticación y la ejecución de código malicioso. Se asocia la campaña al grupo ArcaneDoor, vinculado a un grupo de hackers chino conocido como UAT4356 (aka Storm-1849).
En algunos casos, se ha modificado el ROMMON (Read-Only Memory Monitor) para asegurar la persistencia del malware tras reinicios y actualizaciones. Estas modificaciones se detectaron en plataformas Cisco ASA 5500-X Series sin Secure Boot ni Trust Anchor.
Los modelos ASA 5500-X Series afectados ejecutan versiones 9.12 o 9.14 de Cisco ASA Software con servicios web VPN habilitados y no compatibles con Secure Boot ni Trust Anchor. Todos los dispositivos comprometidos han alcanzado o están próximos a alcanzar el fin de soporte (EoS).
Cisco también ha abordado una tercera vulnerabilidad crítica (CVE-2025-20363, CVSS 8.5/9.0) en los servicios web de Adaptive Security Appliance (ASA) Software, Secure Firewall Threat Defense (FTD) Software, IOS Software, IOS XE Software e IOS XR Software. Esta falla permitiría la ejecución remota de código arbitrario con privilegios de root, comprometiendo completamente el dispositivo.
RayInitiator es un bootkit GRUB persistente que se instala en los dispositivos. Este carga en memoria LINE VIPER, capaz de ejecutar comandos CLI, realizar capturas de paquetes, eludir la autenticación VPN (AAA), suprimir mensajes syslog, recopilar comandos CLI del usuario y forzar un reinicio retardado. LINE VIPER utiliza WebVPN sobre HTTPS o ICMP para comunicarse con el servidor C2 y realiza modificaciones en “lina” para evitar la detección.
El NCSC destaca que el despliegue de LINE VIPER mediante un bootkit persistente, junto con técnicas de evasión avanzadas, demuestra una mayor sofisticación y seguridad operativa en comparación con campañas anteriores como ArcaneDoor.
En INGENIERÍA TELEMÁTICA SAS, comprendemos la importancia de proteger su infraestructura contra amenazas avanzadas. Si su empresa utiliza firewalls Cisco ASA, le recomendamos encarecidamente que revise las alertas de seguridad de Cisco y aplique las actualizaciones necesarias. Contáctenos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente para evaluar su postura de seguridad y ayudarle a implementar las mejores soluciones de protección.
Fuente original: Ver aquí