「Cisco ASA」狙うゼロデイ攻撃、5月に複数政府機関で確認

攻撃を受けたモデルは比較的以前のモデルで、リリース当時にセキュアブートやトラストアンカーに対応していなかった。すでにサポートが終了したり、サポート終了が2025年9月30日に迫っている。

セキュアブートに未対応だったことにつけ込まれ、機器が再起動されたり、ソフトウェアをアップグレードした場合も活動を継続できるよう、Cisco製機器に搭載されているブートローダの「ROMMON（ROM Monitor）」が改ざんされたケースも確認されている。

Cisco Systemsでは、今回の攻撃が2024年4月24日に報告した攻撃キャンペーン「ArcaneDoor」と同じグループが関与している可能性が高いと分析。

マルウェアを解析したイギリスの国家サイバーセキュリティセンター（NCSC UK）は、「ArcaneDoor」で利用されたマルウェア「LINE DANCER」「LINE RUNNER」と比較すると、秘匿性や持続性が強化されていた。

侵害された可能性がある場合、機器における全設定要素については信頼できないものと見なす必要があると指摘。修正版に更新した上で、パスワード、証明書、暗号鍵などすべて置き換えるよう求めた。

（Security NEXT - 2025/09/26 ）ツイート