← 返回博客

安全简报，2026年4月25日：Firestarter 持久化、Zimbra 暴露面，以及 BlackFile 语音钓鱼勒索

今天的共同模式很难看但很清楚，边界设备、邮箱和帮助台信任流程都在被攻击者利用，而且不是靠一次表面修复就能收场。

---

---

1. Firestarter 让 Cisco 防火墙打补丁变成了虚假的终点

CISA 与英国 NCSC 警告称，Firestarter 后门可以在 Cisco Firepower 和 Secure Firewall 设备上跨越重启、固件升级和安全补丁继续存在。该恶意程序与 Cisco 跟踪的间谍活动有关，会挂钩 LINA 进程，在被终止后重新安装，并可通过构造的 WebVPN 流量触发。Cisco 的建议非常直接，修复版本很重要，但推荐的清理路径是重新镜像设备。

• 如果你只是打了补丁就继续往前走，那可能远远不够。
• 立即运行 Cisco 的失陷检查，尤其是 show kernel process | include lina_cs。
• 把对外暴露的防火墙设备当成事件响应对象，而不是常规维护对象。

---

2. 超过一万台暴露的 Zimbra 服务器仍处于风险半径内

Shadowserver 表示，超过 10,500 台暴露在互联网上的 Zimbra Collaboration Suite 服务器仍然易受 CVE-2025-48700 影响，这是一处已被 CISA 列为正在被积极利用的 XSS 漏洞。该问题影响多个 ZCS 分支，攻击者无需认证即可在受害者使用 Classic UI 查看恶意邮件时，在其 Webmail 会话中执行 JavaScript。Zimbra 长期以来一直是邮件窃取和国家级目标攻击的跳板，这就是为什么这件事不能轻视。

• 修补所有暴露的 Zimbra 节点，而不是只修补你认为重要的那几台。
• 如果用户打开过精心构造的邮件，就要把邮箱访问和会话劫持视为现实后果。
• 查看日志、可疑邮件和账号活动，不要把这件事当成纯补丁任务。

---

3. BlackFile 再次证明，假帮助台电话依然足以击穿现代企业

BlackFile 被认为与一波针对零售和酒店业的语音钓鱼勒索攻击有关。攻击者冒充 IT 支持，通过伪造登录页面窃取员工凭证和一次性验证码，然后注册自己的设备来绕过 MFA。之后他们通过标准 API 洗劫 Salesforce 和 SharePoint，窃取敏感文件，并用勒索要求甚至 swatting 进一步施压。

• 训练员工理解，听起来像帮助台并不等于真实可信。
• 在密码重置或 MFA 设备注册前强制执行更严格的来电身份验证。
• 关注异常的 SharePoint 和 Salesforce 导出行为，即使它们看起来像正常会话。

---

安全团队今天该做什么

1. 运行 Cisco 防火墙失陷检查，并在出现指标时安排重新镜像。
2. 完成 Zimbra 修补，并排查通过恶意邮件触发的会话滥用。
3. 收紧帮助台身份验证，尤其是远程支持和 MFA 重置流程。
4. 审查 SaaS 导出活动和设备注册事件，寻找 BlackFile 风格入侵迹象。

---

---

结论： 今天的共同模式很难看但很清楚，边界设备、邮箱和帮助台信任流程都在被攻击者利用，而且不是靠一次表面修复就能收场。