El Australian Signals Directorate (ASD) ha emitido una alerta sobre una serie de ciberataques en curso dirigidos a dispositivos Cisco IOS XE no parcheados dentro del país. Estos ataques explotan la vulnerabilidad crítica CVE-2023-20198 (con una puntuación CVSS de 10.0), que permite a un atacante remoto no autenticado crear una cuenta con privilegios elevados y tomar el control de los sistemas afectados.

Esta vulnerabilidad ha sido explotada activamente desde finales de 2023, incluso por grupos de amenazas vinculados a China, como Salt Typhoon, que la han utilizado para comprometer a proveedores de telecomunicaciones.

El ASD ha detectado variaciones del implante BADCANDY desde octubre de 2023, y una nueva ola de ataques continúa registrándose en 2024 y 2025. Se estima que hasta 400 dispositivos en Australia han sido comprometidos con este malware desde julio de 2025, con 150 de ellos infectados tan solo en octubre.

BADCANDY es una web shell de baja complejidad basada en Lua. Los atacantes suelen aplicar un parche no persistente después del compromiso para enmascarar el estado de vulnerabilidad del dispositivo en relación con CVE-2023-20198. La presencia del implante BADCANDY indica un compromiso del dispositivo Cisco IOS XE a través de CVE-2023-20198.

Aunque la falta de un mecanismo de persistencia significa que no puede sobrevivir a los reinicios del sistema, si el dispositivo permanece sin parchear y expuesto a Internet, el atacante puede reintroducir el malware y recuperar el acceso.

El ASD ha determinado que los atacantes pueden detectar cuándo se elimina el implante y están reinfectando los dispositivos. Esto se basa en el hecho de que se ha producido una re-explotación en dispositivos para los que la agencia ya ha emitido notificaciones a las entidades afectadas.

Si bien un reinicio no deshace otras acciones realizadas por los atacantes, es esencial que los operadores del sistema apliquen los parches, limiten la exposición pública de la interfaz de usuario web y sigan las guías de endurecimiento necesarias emitidas por Cisco para evitar futuros intentos de explotación.

Entre otras acciones recomendadas por la agencia, se incluyen:

* Revisar la configuración actual en busca de cuentas con privilegio 15 y eliminar las cuentas inesperadas o no aprobadas.
* Revisar las cuentas con cadenas aleatorias o “cisco_tac_admin”, “cisco_support”, “cisco_sys_manager” o “cisco” y eliminarlas si no son legítimas.
* Revisar la configuración actual en busca de interfaces de túnel desconocidas.
* Revisar el registro de contabilidad de comandos TACACS+ AAA para los cambios de configuración, si está habilitado.

En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos con la seguridad de su infraestructura. Si utiliza dispositivos Cisco IOS XE, le recomendamos encarecidamente que revise su configuración y aplique los parches de seguridad correspondientes. Si necesita ayuda para proteger sus sistemas, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales.

Fuente original: Ver aquí