패치 이후에도 살아남는 위협: Cisco ASA를 겨냥한 FIRESTARTER 백도어 분석 | CIP Blog

2026년 4월, 미국 사이버보안·인프라보안국(CISA)과 영국 국가사이버보안센터(NCSC)는 국가 연계 APT 행위자 UAT-4356이 Cisco Firepower 장비에 심어놓은 신종 백도어 ‘FIRESTARTER’에 대한 공동 어드바이저리를 발표했다. 이 악성코드는 이미 2025년 9월 미국 연방 민간 행정부처 소속 기관의 Cisco Firepower 장비에서 발견되었으며, 그로부터 약 6개월 뒤인 2026년 3월까지도 공격자의 재접근 경로로 활용된 것으로 확인되었다. 이번 공격은 기존 취약점(CVE-2025-20333, CVE-2025-20362)을 악용해 초기 접근을 확보한 뒤, LINE VIPER와 FIRESTARTER를 통해 네트워크 장비 자체를 장악하는 방식으로 이루어진다. 특히 네트워크 경계 장비를 타겟으로 한다는 점에서, 일반적인 엔드포인트 공격과는 다른 수준의 위험성을 가진다.

본 글에서는 FIRESTARTER의 기술적 구조와 침해 흐름을 분석하고, 외부에 노출된 Cisco ASA 자산이 이번 캠페인에서 어떠한 공격 표면을 형성하는지 살펴본다.

FIRESTARTER 개요

항목	내용
악성코드명	FIRESTARTER
영향 대상	Cisco ASA 소프트웨어 또는 Firepower Threat Defense(FTD)를 실행하는 Cisco Firepower 및 Secure Firewall 장비
공격 유형	백도어
관련 취약점	CVE-2025-20333 (CVSS 9.9), CVE-2025-20362 (CVSS 6.5)
특징	펌웨어 업데이트 이후에도 지속성 유지 재부팅 후에도 자동 재실행 LINA 프로세스 내부에서 후킹하여 명령 실행
관련 툴킷	LINE VIPER (사후 익스플로잇)

FIRESTARTER는 국가 지원 APT 그룹 UAT-4356(Storm-1849)이 배포한 맞춤형 백도어다. Cisco Talos는 이 그룹을 2024년 ArcaneDoor 캠페인의 배후로 지목한 바 있으며, 당시에도 Cisco ASA 장비의 제로데이 두 건(CVE-2024-20353, CVE-2024-20359)을 악용해 Line Dancer, Line Runner 등의 악성코드를 배포했다. FIRESTARTER는 2025년 9월 패치된 n-day 취약점(CVE-2025-20333, CVE-2025-20362)을 악용하는 방식으로 진화하였으며, 이전에 공개된 RayInitiator 부트킷과 상당한 기술적 유사성을 보인다.

공격 흐름 분석

Phase 1 – 초기 침투

UAT-4356은 두 취약점을 체이닝해 초기 접근권을 확보한다. CVE-2025-20362(CVSS 6.5)는 Cisco ASA·FTD의 VPN 웹서버 컴포넌트에 존재하는 비인증 URL 접근 취약점이다. 공격자는 인증 없이 제한된 URL 경로에 접근할 수 있으며, 이를 통해 세션 검증을 우회하거나 자격 증명 탈취 및 정찰에 활용할 수 있다. CVE-2025-20333(CVSS 9.9)는 동일한 WebVPN 컴포넌트에서 유효한 VPN 사용자 자격 증명을 보유한 인증된 원격 공격자가 root 권한으로 임의 코드를 실행할 수 있는 취약점이다. 두 취약점을 조합하면 사실상 비인증 원격 코드 실행이 가능한 조건이 형성된다. 공격자는 초기 침투에 성공하면 즉시 사후 익스플로잇 툴킷 LINE VIPER를 배포한다.

Phase 2 – FIRESTARTER 설치 및 지속성 확보

LINE VIPER가 제공하는 접근권을 바탕으로, 공격자는 FIRESTARTER를 Firepower 장비에 이식한다. FIRESTARTER는 리눅스 ELF 바이너리로, 장치의 핵심 네트워크 처리 엔진인 LINA(Linux-based Integrated Network Architecture) 프로세스에 훅(hook)을 삽입한다. 이 훅은 정상적인 WebVPN XML 핸들러 함수를 악성 Stage 2 셸코드의 주소로 교체한다. 이후 공격자가 특정 “매직 패킷” 패턴이 포함된 조작된 WebVPN 인증 요청을 전송하면, LINA 내에서 임의 셸코드가 실행된다.

지속성 확보 메커니즘은 Cisco Service Platform(CSP)의 마운트 목록인 CSP_MOUNT_LIST를 조작하는 방식으로 작동한다. 장치가 재부팅 신호를 수신하면 FIRESTARTER는 자신을 백업 경로(/opt/cisco/platform/logs/var/log/svc_samcore.log)에 복사하고, CSP_MOUNT_LIST를 수정하여 재부팅 이후 /usr/bin/lina_cs 경로에서 자신이 재실행되도록 한다. 재부팅 완료 후에는 조작된 마운트 목록을 원본으로 복원하고 관련 파일을 디스크에서 삭제해 흔적을 지운다. 이 메커니즘은 소프트 재부팅 및 펌웨어 업데이트를 통해서는 제거되지 않으며, 장치를 전원에서 물리적으로 차단(Hard Power Cycle)해야만 제거 가능하다. Cisco는 “shutdown, reboot, reload CLI 명령으로는 악성 임플란트가 제거되지 않으며, 반드시 전원 코드를 직접 뽑아야 한다”고 명시했다.

Phase 3 – 패치 이후 6개월 잠복 및 재접근

이번 사건의 핵심은 패치 적용 이후에도 공격자가 재접근에 성공했다는 점이다. CISA가 공개한 연방기관 침해 사례에 따르면, 2025년 9월 초 초기 침투가 이루어진 후 같은 달 25일 이전에 FIRESTARTER가 설치되었다. 이후 해당 기관이 패치를 적용했음에도 불구하고, 2026년 3월까지 공격자는 FIRESTARTER를 통해 장치에 재접근하여 LINE VIPER를 재배포했다. 약 6개월에 걸친 잠복 기간 동안 공격자는 탐지 없이 접근을 유지한 것으로 평가된다.

Phase 4 – 중국 연계 APT의 SOHO 코버트 네트워크

이번 FIRESTARTER 어드바이저리는 미국·영국 등 5개국이 참여한 별도의 공동 권고문과 함께 공개되었다. 해당 권고문은 Volt Typhoon, Flax Typhoon 등 중국 연계 APT 그룹들이 SOHO 라우터, IP 카메라, DVR 등 소비자급 IoT 장비를 탈취해 코버트 네트워크를 구축하고, 이를 공격 트래픽의 중계 노드로 활용하고 있음을 경고했다. 이 네트워크는 복수의 APT 그룹이 동시에 공유하는 경우도 있어 정적 IP 차단 기반의 방어를 사실상 무력화한다. FIRESTARTER 캠페인의 배후로 지목된 UAT-4356은 이러한 중국 연계 APT 생태계와 연결된 것으로 평가되며, 2024년 ArcaneDoor, 2026년 Silver Dragon, Operation TrueChaos 등 일련의 캠페인에서 합법적인 인프라와 신뢰할 수 있는 채널을 악용해 악성 활동을 은폐하는 동일한 전술 패턴을 반복하고 있다.

Criminal IP로 관측한 외부 노출 Cisco ASA 자산

FIRESTARTER 캠페인의 실제 공격 표면을 평가하기 위해, Criminal IP Asset Search를 활용해 인터넷에 노출된 Cisco ASA 자산을 식별하고 분석했다.

Criminal IP Asset Search에 product: “cisco asa firewall http config” 를 검색한 결과

Criminal IP 검색 쿼리: product: “cisco asa firewall http config”

Cisco ASA 장치는 HTTP 설정 인터페이스에 고유한 제품 식별자를 노출하기 때문에, 제품명 기반 검색만으로도 관리 인터페이스가 외부에 노출된 장비를 효과적으로 탐지할 수 있다. 이 쿼리는 SSL VPN 기능 활성화 여부와 무관하게 인터넷에서 관리 인터페이스에 접근 가능한 모든 Cisco ASA 장비를 식별하며, FIRESTARTER 백도어 캠페인의 잠재적 피해 자산을 파악하고 CISA·NCSC 공동 어드바이저리에서 기술된 체이닝 공격 대상을 동시에 확인하는 데 활용할 수 있다.

2026년 4월 기준, 이 쿼리를 통해 약 2,250개의 노출 자산이 식별되었다. 이 자산들은 단순히 외부에 열린 시스템이 아니라, 관리 인터페이스가 인터넷에 직접 노출된 네트워크 보안 어플라이언스다. 인증 우회와 원격 코드 실행 벡터가 체이닝되는 시나리오에서, 이러한 자산들은 추가 조건 없이 즉각 악용 가능한 고위험 타깃이 될 수 있다.

Criminal IP Asset Search에 product: “cisco asa firewall http config” tag: “SSL VPN”를 검색한 결과

Criminal IP 검색 쿼리: product: “cisco asa firewall http config” tag: “SSL VPN”

전체 Cisco ASA 노출 자산 중에서 SSL VPN 서비스를 실제로 외부에 노출하고 있는 장비만을 필터링하면, 이번 캠페인과 가장 직접적으로 연관된 최고 위험 자산군이 도출된다. FIRESTARTER 백도어는 조작된 WebVPN 인증 요청에 포함된 “매직 패킷”을 파싱해 임의 셸코드를 실행하는 구조이므로, SSL VPN을 외부에 노출하고 있는 장비가 이번 공격 시나리오에서 가장 직접적인 공격 표면이 된다. 이 쿼리를 통해 2026년 4월 기준 57개의 장비가 SSL VPN 서비스를 인터넷에 직접 노출하고 있음이 확인되었다. 이 자산들은 CISA·NCSC 어드바이저리에서 기술된 공격 프로필과 정확히 일치하며, 관리 인터페이스와 VPN 기능이 모두 인터넷에서 접근 가능한 상태로 공격자에게 FIRESTARTER 이식의 직접적인 진입점을 제공한다.

Criminal IP Asset Search에서 관련 개별 자산을 분석한 결과

개별 자산을 Criminal IP에서 상세 분석하면, HTTPS(443)와 관리 인터페이스 포트가 동시에 개방된 사례가 다수 확인된다. 이는 VPN 기능과 관리 기능 모두가 인터넷에 노출된 상태로, 공격자가 FIRESTARTER 임플란트 또는 LINE VIPER 사후 익스플로잇 툴킷을 배포하기 위한 복수의 진입점이 동시에 제공되고 있음을 의미한다. FIRESTARTER가 배포된 환경에서는 단순한 초기 접근을 넘어, 백도어가 펌웨어 업데이트와 재부팅을 모두 생존하며 부팅 시퀀스에 자신을 등록해 매 정상 재시작마다 자동으로 재활성화된다. LINE VIPER 툴킷은 패킷 캡처, VPN 인증 우회, syslog 억제, 자격 증명 탈취를 가능하게 해, 최초 침해가 탐지·패치된 이후에도 공격자가 지속적이고 은밀한 접근을 유지할 수 있는 환경을 만든다.

패치 현황 및 대응 방안

CVE-2025-20333과 CVE-2025-20362는 2025년 9월 패치를 통해 수정되었으나, 확인된 바와 같이 이미 침해된 장비에서는 패치만으로 FIRESTARTER 백도어가 제거되지 않는다. FIRESTARTER는 CSP_MOUNT_LIST를 조작해 부팅 시 자동 실행되는 구조를 가지며, 일반적인 소프트 재부팅(reboot, reload)이나 펌웨어 업데이트로는 제거되지 않는다. Cisco 역시 해당 악성코드 제거를 위해 물리적 전원 차단(Hard Power Cycle) 또는 장비 리이미징(Reimage)을 권고하고 있다. 즉, 이번 이슈에서의 대응은 단순 패치 적용이 아니라 “이미 침해되었을 가능성”을 전제로 한 대응이 필요하다.

조직은 다음과 같은 우선순위로 대응해야 한다.

Cisco ASA / FTD 장비를 최신 패치 버전으로 업데이트
감염 의심 장비에 대해 리이미징(Reimage) 수행
물리적 전원 차단을 통한 완전 재부팅 수행
관리 인터페이스(HTTP/HTTPS) 외부 노출 차단
SSL VPN(WebVPN) 접근 제어 및 IP 제한 적용

특히 외부에 노출된 장비의 경우, 패치 여부와 관계없이 공격 대상이 될 수 있기 때문에 관리 인터페이스와 VPN 접근 경로를 우선적으로 통제해야 한다.

또한 침해 가능성이 확인된 경우, 다음 항목은 모두 신뢰할 수 없는 상태로 간주해야 한다.

VPN 사용자 계정 및 인증 정보
장비 설정(Configuration) 전체
인증 및 세션 관련 키 정보
네트워크 트래픽 및 로그 데이터

이는 FIRESTARTER와 LINE VIPER 조합이 패킷 캡처, 인증 우회, 로그 은폐, 자격 증명 탈취를 모두 수행할 수 있기 때문이다.

FAQ

Q1. 패치를 이미 적용했는데도 FIRESTARTER 확인이 필요한가요?

그렇습니다. 이번 사건의 핵심이 바로 이 지점에 있습니다. CVE-2025-20333과 CVE-2025-20362에 대한 패치는 취약점 자체를 수정하지만, 패치 이전에 이미 FIRESTARTER가 설치된 장치에서는 백도어가 제거되지 않습니다. 실제 연방기관 사례에서도 패치 적용 이후 약 6개월 동안 공격자가 FIRESTARTER를 통해 장치에 재접근했습니다. 패치 적용 여부와 무관하게 CLI 명령 또는 코어 덤프를 통한 감염 여부 확인이 반드시 필요합니다.

Q2. Cisco ASA를 방화벽·VPN으로 운영하는 조직은 어떤 조치를 우선해야 하나요?

외부에서 접근 가능한 Cisco ASA 장비를 즉시 전수 파악하는 것이 출발점입니다. 특히 VPN 웹 인터페이스(WebVPN/SSL VPN)가 인터넷에 노출된 장비는 이번 캠페인의 직접적인 공격 대상이므로, 가능한 경우 외부 접근을 즉시 제한하거나 차단해야 합니다. 이후 show kernel process | include lina_cs 명령으로 감염 여부를 확인하고, 감염이 확인되면 Hard Power Cycle 및 리이미징을 수행해야 합니다. 관련 설정 및 자격 증명 전체도 신뢰할 수 없는 상태로 간주하고 교체해야 합니다.

결론

FIRESTARTER 사건은 네트워크 엣지 보안에 대한 근본적인 재인식을 요구한다. 방화벽과 VPN 어플라이언스는 조직의 모든 트래픽이 통과하는 가장 신뢰받는 보안 장치이자, 동시에 공격자가 가장 높은 가치를 두는 타깃이다. 이번 사례에서 공격자는 패치 적용 이후에도 6개월간 탐지되지 않고 장치에 잔존했으며, 방화벽 자체가 트래픽 가로채기와 자격 증명 탈취의 도구로 전환되었다. CISA가 긴급 지시를 통해 강조했듯, 취약점 패치는 필요조건이지 충분조건이 아니다. 패치 이전에 외부에 노출된 장비가 어디에 있는지 파악하고, 실제로 감염되었는지 여부를 적극적으로 확인하는 것이 보안 대응의 출발점이 되어야 한다. 네트워크 엣지를 보호하는 것은 더 이상 방화벽 룰셋의 강도만으로 결정되지 않는다. 그 엣지가 현재 누구에게 열려 있는지, 이미 누군가가 들어와 있는 것은 아닌지를 지속적으로 확인하는 것이 핵심이다.

관련하여 nginx-ui MCPwn(CVE-2026-33032) 분석: MCP 인증 누락으로 이어지는 Nginx 서버 장악 글을 참고할 수 있다.

Criminal IP (criminalip.io/ko/register) 에 가입하면 즉시 취약 자산 탐지를 시작할 수 있습니다. 또한 아래 버튼을 통해 데모를 요청하고, 엔터프라이즈 환경에서 외부에 노출된 자산을 대상으로 한 Criminal IP의 위협 인텔리전스(TI) 분석을 직접 확인해 보세요.

이 리포트는 AI기반 사이버 위협 인텔리전스 검색엔진 Criminal IP의 데이터를 바탕으로 작성되었습니다. 지금 바로 Criminal IP 무료 계정을 생성하면 리포트에 인용된 검색 결과를 직접 확인하거나, 더 방대한 위협 인텔리전스를 자유롭게 검색할 수 있습니다.

출처: Criminal IP(https://www.criminalip.io/ko), SECURITYWEEK (https://www.securityweek.com/us-federal-agencys-cisco-firewall-infected-with-firestarter-backdoor/), digwatch (https://dig.watch/updates/cisa-firestarter-malware-cisco-directive), TheHackerNews (https://thehackernews.com/2026/04/firestarter-backdoor-hit-federal-cisco.html)