FIRESTARTER: quando o firewall vira porta de entrada para o atacante

Em 23 de abril de 2026, a CISA (Cybersecurity and Infrastructure Security Agency, agência federal americana de segurança cibernética) publicou um relatório de análise de malware que me fez parar o que estava fazendo e chamar meu time de infraestrutura imediatamente. O nome do malware é FIRESTARTER. O alvo são dispositivos Cisco Firepower e Secure Firewall rodando ASA (Adaptive Security Appliance) ou FTD (Firepower Threat Defense), dois dos sistemas de proteção de perímetro mais comuns em ambientes corporativos no Brasil.

O relatório foi produzido em conjunto com o NCSC do Reino Unido (National Cyber Security Centre), o que por si só já indica o nível de atenção que a ameaça merece. Quando duas agências nacionais de dois países distintos publicam um alerta conjunto sobre um único malware, não estamos diante de ruído. Estamos diante de um sinal claro.

Na UNODATA, gerenciamos ambientes de clientes que usam exatamente esse tipo de equipamento. Então esse relatório não é notícia de fora. É uma informação que muda o que fazemos na segunda-feira de manhã.

O que é o FIRESTARTER e por que ele é diferente

O FIRESTARTER é uma backdoor, ou seja, uma porta dos fundos instalada no dispositivo. A função dela é simples e devastadora: garantir persistência. Em segurança, persistência significa que o atacante consegue voltar ao ambiente mesmo depois que você reinicia o equipamento, atualiza o firmware ou acha que limpou a infecção.

O vetor de ataque são dispositivos Cisco Firepower e ASA acessíveis publicamente pela internet. Isso é crítico. Não estamos falando de um ataque que precisa enganar um usuário para clicar em um link. Estamos falando de dispositivos de borda, expostos diretamente à internet por design, que foram comprometidos por grupos APT (Advanced Persistent Threat, ou ameaças persistentes avançadas, jargão para grupos altamente capacitados, geralmente com patrocínio estatal ou motivação geopolítica).

O firewall comprometido não protege mais nada. Ele vira o ponto de observação privilegiado do atacante dentro da sua rede.

A lógica estratégica por trás disso é elegante do ponto de vista do atacante. O firewall é o dispositivo que vê todo o tráfego que entra e sai da organização. Ele tem visibilidade máxima e, na maioria dos casos, está fora do escopo dos sistemas de detecção internos. As equipes monitoram o que passa pelo firewall, raramente monitoram o que acontece dentro do firewall.

Por que grupos APT miram dispositivos de borda

Não é a primeira vez que vejo esse padrão. Em conversas com colegas de segurança e em análises que acompanhamos na UNODATA, dispositivos de borda viraram o alvo favorito de atores sofisticados pelos seguintes motivos:

1. Ficam expostos à internet por obrigação operacional, não por descuido.
2. Rodam sistemas operacionais proprietários que as ferramentas tradicionais de EDR (Endpoint Detection and Response) não cobrem.
3. São frequentemente esquecidos nos ciclos de patch porque a percepção é de que “o firewall é a defesa, não precisa ser defendido”.
4. Têm acesso privilegiado ao tráfego interno, incluindo credenciais, tokens e dados sensíveis.
5. Reinicializações e atualizações em produção têm janelas restritas, o que retarda a resposta.

Esse conjunto de fatores cria uma janela de exploração longa. E grupos APT são pacientes. Eles instalam a backdoor e esperam. Às vezes semanas, às vezes meses, antes de avançar para a próxima fase do ataque.

O que a CISA está pedindo que as organizações façam

O relatório veio acompanhado de uma atualização da Diretiva de Emergência ED 25-03 e de instruções suplementares chamadas “Core Dump and Hunt Instructions”. Em linguagem direta, a CISA está pedindo que as organizações façam três coisas:

Primeiro, identifiquem todos os dispositivos Cisco Firepower e Secure Firewall com ASA ou FTD acessíveis publicamente no seu ambiente. Se você não tem um inventário atualizado desses ativos, esse é o problema raiz (root cause) antes mesmo do malware.

Segundo, executem os procedimentos de core dump descritos nas instruções suplementares. Core dump é a extração do conteúdo da memória do dispositivo para análise forense. É um procedimento técnico que precisa ser feito por alguém com experiência, porque um core dump malfeito pode destruir a evidência que você precisa para entender se foi comprometido.

Terceiro, assumam postura de resposta a incidente se encontrarem indicadores de comprometimento. Isso significa isolamento, preservação de evidência e notificação, dependendo do contexto regulatório da sua organização.

Para empresas brasileiras, o contexto regulatório inclui a LGPD (Lei Geral de Proteção de Dados) e, dependendo do setor, normas do Banco Central, da ANS ou da ANATEL. Um dispositivo de borda comprometido que expôs dados pessoais precisa de análise jurídica além da técnica.

O que eu faria se fosse o CISO da sua empresa hoje

Não sou CISO. Sou CEO de uma empresa de tecnologia que acompanha esse tipo de ameaça de perto porque nossos clientes dependem de nós para isso. Mas se eu tivesse que listar as ações imediatas, seriam estas:

• Mapear todos os ativos Cisco com ASA ou FTD no ambiente, incluindo os que ficam em filiais e ambientes de parceiros com acesso à rede principal.
• Verificar a versão de firmware de cada dispositivo e comparar com as versões recomendadas pela Cisco nos avisos de segurança relacionados.
• Revisar quais dispositivos têm interface de gerenciamento acessível pela internet. Gerenciamento remoto em dispositivos de borda deveria estar atrás de uma VPN dedicada ou acesso out-of-band, não exposto diretamente.
• Acionar o fornecedor ou parceiro de suporte para executar os procedimentos de core dump e análise descritos pela CISA.
• Revisar os logs de acesso dos últimos 90 dias com foco em conexões de saída incomuns originadas pelos dispositivos de firewall. FIRESTARTER precisa de comunicação com infraestrutura de comando e controle.

Uma observação importante: o relatório fala em dispositivos “publicamente acessíveis”. Mas minha experiência mostra que o problema é maior do que parece. Muitos gestores acreditam que seus firewalls não estão expostos, mas depois de um mapeamento de superfície de ataque descobrem portas de gerenciamento abertas que foram configuradas em projetos antigos e nunca fechadas.

A lição estratégica que vai além do FIRESTARTER

Eu poderia encerrar esse artigo com uma lista de recomendações técnicas e seguir em frente. Mas o que me preocupa como CEO não é só o FIRESTARTER. É o padrão que ele representa.

Nos últimos três anos, vimos um deslocamento claro. Os ataques mais sofisticados pararam de mirar o endpoint do usuário como ponto principal de entrada. Eles miram a infraestrutura de rede: firewalls, roteadores, concentradores VPN, dispositivos SD-WAN. Isso acontece por uma razão simples: as defesas do endpoint melhoraram muito. EDR, XDR, MFA. O perímetro ficou mais frágil relativamente porque recebeu menos atenção.

O investimento em segurança nas empresas que atendo segue um padrão que precisa mudar. Gastos com proteção de endpoint cresceram. Gastos com monitoramento e hardening de dispositivos de rede ficaram estagnados. A superfície de ataque se deslocou, mas o orçamento de defesa não acompanhou.

Iso não é crítica. É uma constatação que precisa entrar na pauta do próximo planejamento de segurança. Quando você revisa onde concentrar recursos de proteção, a pergunta correta não é “onde já fui atacado”. É “onde o atacante sofisticado vai atacar a seguir”.

O FIRESTARTER responde essa pergunta com muita clareza.

---

Se você gerencia ou supervisiona a infraestrutura de TI de uma empresa que usa Cisco Firepower ou ASA, esse é o momento de verificar. Não amanhã. Hoje.

E se você ainda não tem visibilidade sobre o estado dos seus dispositivos de borda, essa é a conversa que você precisa ter com seu time ou com seu parceiro de tecnologia esta semana. Passividade aqui tem um custo concreto.

Perguntas frequentes

O que é o malware FIRESTARTER e como ele funciona?

FIRESTARTER é uma backdoor (porta dos fundos) instalada em dispositivos Cisco Firepower e Secure Firewall com software ASA ou FTD. Ele garante persistência, ou seja, o atacante mantém acesso ao dispositivo mesmo após reinicializações. A CISA e o NCSC britânico confirmaram que grupos APT estão usando esse malware especificamente contra dispositivos acessíveis pela internet.

Minha empresa usa Cisco ASA. O que devo fazer agora?

O primeiro passo é verificar se os seus dispositivos estão expostos publicamente à internet, especialmente as interfaces de gerenciamento. Em seguida, consulte as instruções de Core Dump e Hunt publicadas pela CISA na diretiva ED 25-03 e execute a análise com apoio técnico qualificado. Mantenha os firmwares atualizados conforme as versões recomendadas pela Cisco nos avisos de segurança relacionados.

Dispositivos Cisco que não estão na internet também estão em risco?

O relatório foca em dispositivos publicamente acessíveis como vetor de entrada. Porém, um dispositivo interno comprometido via movimento lateral também representa risco. A recomendação é auditar toda a base de ativos Cisco com ASA ou FTD, não apenas os de borda, e revisar os logs de acesso em busca de comportamentos anômalos de comunicação de saída.

Como a LGPD se aplica se um firewall for comprometido por FIRESTARTER?

Um firewall comprometido tem visibilidade sobre todo o tráfego da organização, incluindo dados pessoais em trânsito. Se houver evidência de exfiltração de dados, a empresa pode estar diante de um incidente de segurança com obrigação de notificação à ANPD (Autoridade Nacional de Proteção de Dados) e aos titulares afetados, conforme o artigo 48 da LGPD. A análise forense precisa determinar o escopo do acesso antes de qualquer comunicação formal.