FIRESTARTER 백도어와 Cisco 경계 장비의 펌웨어 지속성

패치 뒤에도 남아 있던 Firepower 백도어

2026년 4월, 미국 사이버보안·인프라보안국(CISA)은 미국 연방 민간 행정부(FCEB) 산하 기관의 Cisco Firepower 장비에서 FIRESTARTER 백도어를 확인한 분석 보고서를 공개했다. 보안 패치가 적용된 뒤에도 백도어는 사라지지 않았다.

FIRESTARTER는 운영체제 위에서만 동작하는 일반적인 악성코드와 다른 위치에 자리 잡았다. 공격자는 펌웨어 수준의 부트 시퀀스에 지속성을 심었고, 운영체제 재설치나 보안 업데이트 이후에도 장비 접근을 이어 갔다. 경계 장비를 업데이트했다는 사실만으로 침해가 종료됐다고 판단하기 어려운 사례다.

UAT-4356이 남긴 침투 경로

FIRESTARTER는 UAT-4356이 배포한 악성 백도어다. Cisco Talos는 이 행위자를 마이크로소프트가 STORM-1849로 추적하는 국가 연계 APT와 동일한 행위자로 분류한다. 이들은 2024년 초 ArcaneDoor 캠페인을 통해 알려졌으며, 정부 네트워크의 경계 장비를 겨냥한 사이버 첩보 작전에 집중해 왔다.

침투에는 Cisco ASA 소프트웨어의 제로데이 취약점인 CVE-2025-20333과 CVE-2025-20362가 사용됐다. 공격자는 2025년 9월 25일 이전 어느 시점에 대상 기관의 Firepower 장비에 FIRESTARTER를 이식했다. 이후 Cisco 패치가 적용됐지만, 이미 자리 잡은 백도어는 유지됐다.

2026년 3월 공격자는 FIRESTARTER를 통해 다시 접속해 LINE VIPER 임플란트를 배포했다. 이 사후 익스플로잇 도구는 VPN 세션을 만들면서 모든 VPN 인증 정책을 우회한다. 정상 관리자 접속처럼 보이는 연결이 내부 네트워크로 이어질 수 있는 구조다.

부팅과 핵심 프로세스에 걸친 지속성

FIRESTARTER의 생존 방식은 세 지점으로 볼 수 있다.

장비 시동 구성 목록(startup configuration list)을 조작해 부팅할 때마다 활성화되도록 만든다. 이는 UEFI/BIOS 수준 루트킷이 부트 서비스를 후킹하고 커널 로더를 메모리에서 패치하는 방식과 유사하다.

또한 Cisco ASA 및 FTD 어플라이언스의 FXOS에서 실행되는 핵심 컴포넌트인 LINA 프로세스 안에서 임의 코드를 실행한다. 기존 안티바이러스나 침입 탐지 솔루션이 감시하지 못하는 영역이 될 수 있다.

활성화 뒤에는 잠복 상태를 유지한다. 공격자가 특수하게 조작한 WebVPN 인증 요청으로 매직 패킷을 보내면 C2(Command & Control) 채널을 연다. 평소 트래픽에서 이상 징후가 거의 드러나지 않는 이유다.

⤢✕

ArcaneDoor에서 이어진 작전 방식

UAT-4356은 ArcaneDoor 캠페인에서도 Cisco ASA의 제로데이 취약점 CVE-2024-20353, CVE-2024-20359를 활용해 전 세계 정부 기관을 표적으로 삼았다. 당시에는 LINE DANCER와 LINE RUNNER라는 맞춤형 임플란트가 함께 사용됐다.

공격 흐름은 제로데이 취약점 활용, 맞춤형 임플란트 이식, 지속성 확보, 장기 잠복으로 이어진다. 표적은 네트워크 경계에 놓인 고가치 장비다. 이는 단순한 랜섬웨어 갱단이나 금전 동기 공격자의 방식과는 다르며, 국가 정보기관 수준의 자원과 인내심을 필요로 하는 작전으로 보인다.

확인할 침해 지표(IoC)는 다음과 같다.

파일명 lina_cs 또는 svc_samcore.log
show memory region | include lina 실행 결과에서 실행 가능 메모리 영역이 두 개 이상인 상태
그중 하나의 메모리 섹션 크기가 정확히 0x1000 바이트인 경우
비정상적인 WebVPN 인증 요청 트래픽 패턴

침해 확인 없이 적용한 패치의 한계

CISA는 패치가 새로운 취약점 악용을 막을 수는 있어도, 이미 침해된 장비에서 FIRESTARTER를 제거하지는 못한다고 설명한다. 콜드 파워 리무벌, 즉 전원 케이블을 물리적으로 분리하는 방식도 데이터 손상 위험 때문에 공식 권장 조치가 아니다.

완전한 해결책은 장비 재이미징(reimaging)이다. 공장 초기화 수준으로 복원해야 한다는 뜻이다. 방화벽과 같은 경계 장비에서 침해 여부를 확인하지 않은 채 패치만 적용하면, 보이지 않는 C2 채널이 남아 있을 가능성을 배제할 수 없다.

펌웨어 침해를 전제로 경계 방어를 설계한다

펌웨어 무결성을 별도로 검증한다

소프트웨어 서명 검증만으로는 충분하지 않다. TPM(Trusted Platform Module) 또는 보안 부트 메커니즘을 사용해 장비 부팅 때마다 펌웨어 측정값(measurement)을 기록하고, 원격 증명(remote attestation)으로 변조를 확인할 필요가 있다.

RFC 9683은 TPM을 포함한 네트워크 장비의 원격 무결성 검증을 위한 표준 프레임워크를 제공한다. 알려진 양호 상태(known-good state)의 해시 데이터베이스와 실시간 측정값을 비교해 편차를 감지하는 솔루션으로는 Eclypsium이 예시로 언급된다.

관리 경로를 데이터 플레인에서 분리한다

프로덕션 네트워크와 물리적·논리적으로 분리된 OOB(Out-of-Band) 관리 네트워크가 필요하다. 관리 트래픽이 데이터 플레인과 같은 경로를 공유하면, 경계 장비 침해 시 관리자는 장비를 검증하고 통제할 경로까지 잃을 수 있다.

CISA·NSA·FBI의 합동 지침은 SSH v2 전용 사용, 최소 3072비트 RSA 키, TACACS+ 인증, Cisco Smart Install 등 사용하지 않는 관리 프로토콜의 비활성화를 권고한다.

경계 장비도 신뢰하지 않는 제어를 둔다

Zero Trust 모델에서는 경계 내부가 안전하다는 전제를 두지 않는다. 경계 장비 자체 역시 검증 대상이다. 장비 정체성 인증(device identity verification), 최소 권한 원칙(least privilege), 마이크로 세그멘테이션을 통한 측면 이동 경로 차단, 모든 접근의 지속적인 이상 행동 모니터링이 필요하다.

⤢✕

의심 징후가 보일 때의 대응 범위

CISA가 제시한 조치는 연방기관뿐 아니라 민간 기업의 경계 장비 운영에도 적용할 수 있다.

우선 show memory region | include lina 명령으로 비정상적인 메모리 영역을 확인하고, lina_cs 및 svc_samcore.log 파일 존재 여부를 점검한다. 의심 징후가 발견되면 패치에 그치지 않고 완전 재이미징을 수행한다. 재이미징 이전의 설정 파일과 인증서는 폐기하고 새로 발급해야 한다.

네트워크 가시성도 함께 확보해야 한다. CISA·NSA의 통신 인프라 강화 지침에 따라 심층 패킷 검사(DPI)와 NetFlow 분석으로 비정상적인 아웃바운드 연결을 모니터링한다. UAT-4356/STORM-1849 관련 IoC는 위협 인텔리전스 플랫폼에 반영하고, Cisco Talos 블로그와 CISA 알림을 추적한다.

동일 벤더의 다른 장비도 점검 범위에 포함한다. ASA, FTD, Firepower 전 라인업이 같은 벡터로 침해됐을 가능성을 고려해야 한다.

FIRESTARTER 사건은 국가 지원 APT가 펌웨어 수준 지속성을 실전에서 구현해 연방 기관의 경계 장비를 6개월 이상 장악한 사례다. 경계 장비는 단순히 업데이트하면 되는 대상이 아니다. 펌웨어 무결성 검증, OOB 관리, Zero Trust 재설계가 함께 작동해야 한다.