A Direção de Sinais da Austrália (ASD) emitiu um boletim sobre ataques cibernéticos em andamento contra equipamentos Cisco IOS XE sem correção, explorando a vulnerabilidade CVE-2023-20198, classificada com pontuação máxima de 10,0 no sistema CVSS.
De acordo com a agência, a brecha permite que um invasor remoto e não autenticado crie contas com privilégios elevados e assuma o controle total do dispositivo afetado. A falha vem sendo explorada desde o fim de 2023 por grupos vinculados à China, como o Salt Typhoon, que têm mirado provedores de telecomunicações.
Implante BADCANDY em circulação desde 2023
Os ataques utilizam um web shell em Lua, apelidado de BADCANDY, identificado pela primeira vez em outubro de 2023. O ASD afirma que variantes do implante seguem ativas em 2024 e 2025. Só entre julho e outubro de 2025, cerca de 400 dispositivos foram comprometidos na Austrália, dos quais 150 apenas em outubro.
O BADCANDY não possui mecanismo de persistência e é removido após reinicialização do sistema. No entanto, caso o equipamento permaneça exposto e sem correção, os atacantes conseguem reinstalar o malware e retomar o acesso. A agência observa que recontaminações foram registradas em dispositivos já notificados anteriormente.
Recomendações de mitigação
O ASD orienta administradores a aplicar imediatamente os patches de segurança, restringir o acesso público à interface web e seguir as diretrizes de endurecimento divulgadas pela Cisco. Entre as ações recomendadas estão:
Imagem: Internet
- Revisar a configuração em busca de contas com privilégio 15 e excluir acessos inesperados;
- Verificar e remover contas com cadeias aleatórias ou nomes como “cisco_tac_admin”, “cisco_support”, “cisco_sys_manager” ou “cisco” quando não autorizadas;
- Analisar a configuração para identificar interfaces de túnel desconhecidas;
- Checar logs de accounting TACACS+ AAA para alterações de configuração, se o recurso estiver habilitado.
Segundo a agência, a simples reinicialização não reverte outras ações já executadas pelos invasores, reforçando a necessidade de correção completa da falha e adoção das boas práticas de segurança listadas.
Com informações de The Hacker News
