CISA KEV: CVE-2025-59374 — malware embutido em utilitário ASUS Live Update

O CVE-2025-59374 foi adicionado ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) da CISA em 2025, registrando a utilização do ASUS Live Update — ferramenta de atualização de firmware e drivers pré-instalada em laptops e desktops ASUS — como vetor para distribuição de malware em ataques de cadeia de suprimentos.

Ataques de cadeia de suprimentos via ferramentas de atualização são particularmente difíceis de detectar porque o malware é entregue por canais legítimos e confiáveis. O processo de atualização de software é historicamente assumido como seguro por usuários e equipes de segurança, criando um ponto cego significativo.

O episódio faz parte de um padrão mais amplo identificado em 2025 de ataques a cadeias de suprimentos de software e hardware. Organizações com frota de equipamentos ASUS devem verificar a versão e integridade do Live Update, revisar logs de execução em busca de processos suspeitos originados do utilitário e considerar a implementação de políticas de application control para restringir software de atualização de fornecedores.

O CISA recomenda que agências federais americanas remediem o CVE dentro dos prazos definidos no catálogo KEV. Para o setor privado, o catálogo KEV serve como referência prioritária de vulnerabilidades que exigem atenção imediata.

Fonte: CISA Known Exploited Vulnerabilities Catalog.