ArcaneDoor攻击（思科ASA零日漏洞）

攻击概述

思科披露了一起针对思科自适应安全设备（ASA）的国家级间谍活动，这些设备广泛部署于防火墙、VPN和安全功能。

初始通报（4月24日）：攻击者利用ASA设备中两个先前未知的零日漏洞入侵全球政府机构。

部署的恶意软件：入侵涉及两个定制后门程序“Line Runner”和“Line Dancer”，它们协同工作以：

• 更改设备配置
• 进行侦察活动
• 捕获并外泄网络流量
• 实现在受害者网络内的横向移动

更新（2025年9月25日）：思科观察到专门针对ASA 5500-X系列设备的新恶意活动。为此，发布了三个新分配漏洞的补丁：

• CVE-2025-20333
• CVE-2025-20362
• CVE-2025-20363

此活动凸显了复杂攻击者持续利用广泛部署的思科安全设备中的零日漏洞进行间谍活动和长期驻留。

建议缓解措施

根据思科公告，初始攻击向量仍未确定；已确定两个漏洞（CVE-2024-20353和CVE-2024-20359）。

强烈建议客户遵循安全公告中概述的说明： https://sec.cloudapps.cisco.com/security/center/resources/asa_ftd_attacks_event_response

遵循CISA紧急指令：ED 25-03：识别和缓解思科设备潜在危害 | CISA

FortiGuard防护覆盖

FortiGuard Labs已阻止思科公告中列出的所有已知危害指标（IoCs），并正在调查进一步防护措施。

同时，FortiGuard Labs强烈建议用户应用思科产品安全事件响应团队（PSIRT）提供的补丁。

怀疑遭受入侵的组织可以联系FortiGuard事件响应团队，以获得快速调查和修复支持。

额外资源

• ArcaneDoor - 发现针对边界网络设备的新间谍活动 (talosintelligence.com)
• 思科事件响应：针对思科防火墙平台的攻击
• ED 25-03：识别和缓解思科设备潜在危害 | CISA

发布日期：2024年4月24日
更新日期：2025年9月25日
标签：威胁信号
CVE ID：CVE-2024-20353, CVE-2024-20359, CVE-2025-20333, CVE-2025-20362, CVE-2025-20363
类型：攻击
威胁行为者类型：间谍活动