Anstieg von Cisco-ASA-Scans schürt Sicherheitsbefürchtungen

Ein starker Anstieg von Cisco-ASA-Scans hat Sicherheitsforscher alarmiert. Ende August 2025 entdeckte GreyNoise ungewöhnliche Aktivitäten, die auf Cisco Adaptive Security Appliance (ASA)-Geräte abzielten. Auf dem Höhepunkt führten 25.000 eindeutige IP-Adressen Scans auf Login-Portale und Remote-Access-Dienste durch. Dieses Ausmaß deutet darauf hin, dass Angreifer sich möglicherweise darauf vorbereiten, eine noch nicht offengelegte Schwachstelle auszunutzen.

Details zum Angriff

GreyNoise beobachtete die erste Welle von Scans am 26. August. Die Mehrheit richtete sich gegen ASA-Web-Login-Portale sowie Telnet- und SSH-Endpunkte. Kurz darauf folgte eine zweite Welle mit denselben Fingerabdrücken.

80 % des Datenverkehrs der ersten Welle stammten aus Brasilien. Rund 14.000 IP-Adressen zeigten identische TLS-Fingerabdrücke und gefälschte Chrome-ähnliche User Agents. Diese Konsistenz weist auf eine koordinierte Botnet-Kampagne hin, anstatt auf zufälliges Hintergrundrauschen.

Geografische Reichweite

Der Anstieg der Cisco-ASA-Scans betraf Netzwerke in den gesamten USA, mit bemerkenswerter Aktivität auch in Großbritannien und Deutschland. GreyNoise-Analysten stellten fest, dass solche Aufklärungsaktivitäten oft der Offenlegung oder Waffnung neuer Schwachstellen vorausgehen.

Warum es wichtig ist

Cisco-ASA-Geräte sind hochwertige Ziele. Frühere Kampagnen wie ArcaneDoor sowie Ransomware-Gruppen wie LockBit und Akira nutzten ASA-Schwachstellen rasch aus, sobald diese bekannt wurden. Der aktuelle Anstieg der Scans könnte darauf hindeuten, dass Angreifer bereits von einer bevorstehenden Schwachstelle wissen und exponierte Geräte im Voraus kartieren.

Abwehrmaßnahmen

Organisationen sollten sofort handeln, um die Exposition zu reduzieren:

• Beschränkung oder Blockierung des ASA-Web-, SSH- und Telnet-Zugangs aus dem Internet.
• VPN oder private Netzwerke für die Administration verlangen.
• Patches sofort nach Veröffentlichung anwenden.
• Geofencing oder Rate Limiting einsetzen, insbesondere gegen Datenverkehr aus Brasilien.
• Multi-Faktor-Authentifizierung für Remote-Logins aktivieren.
• GreyNoise-Warnungen zu ASA-Scan-Aktivitäten überwachen.

Fazit

Der starke Anstieg von Cisco-ASA-Scans Ende August ist ein Warnsignal. Mit 25.000 IP-Adressen, die weltweit Geräte sondieren, ist das Risiko einer Ausnutzung hoch. Sicherheitsteams sollten jetzt handeln, indem sie Verwaltungsoberflächen absichern, Updates schnell anwenden und Scanning-Trends genau beobachten, um potenziellen Angriffen einen Schritt voraus zu sein.