هشدار آژانس سایبری استرالیا درمورد بدافزار مخرب

به گزارش کارگروه بین‌الملل سایبربان؛ مرکز امنیت سایبری استرالیا (ACSC) وابسته به اداره سیگنال‌ها، چندی پیش هشداری منتشر کرد و در آن نسبت به یک بدافزار مخرب وب-شِل به نام «BADCANDY» هشدار داد که معمولاً با آسیب‌پذیری در دستگاه‌های «Cisco IOS XE» آسیب‌پذیر به «CVE-2023-20198» مرتبط است.

این بدافزار یک وب-شِل مبتنی بر «Lua» با قدرت پردازش پایین است که اولین بار در اکتبر 2023 مشاهده شد، اما طبق آنچه مرکز امنیت سایبری استرالیا «فعالیت قابل توجه تجدید شده» می‌نامد، در طول سال‌های 2024 و 2025 ادامه داشته است.

مرکز امنیت سایبری استرالیا اعلام کرد:

«عاملان سایبری معمولاً پس از نفوذ، یک پچ غیرپایدار اعمال کرده‌اند تا وضعیت آسیب‌پذیری دستگاه را در رابطه با CVE-2023-20198 پنهان کنند.»

در این موارد، وجود بدافزار BADCANDY نشان‌دهنده نفوذ به دستگاه Cisco IOS XE از طریق CVE-2023-20198 است. اگرچه BADCANDY فراتر از راه‌اندازی مجدد دستگاه آلوده، پایداری خود را حفظ نمی‌کند، اما اگر هکری که برای اولین بار این بدافزار را مستقر کرده، به اعتبارنامه‌های حساب یا موارد مشابه دسترسی داشته باشد، ممکن است بتواند دسترسی به دستگاه را حفظ کند.

CVE-2023-20198 باید برای جلوگیری از سوءاستفاده مجدد، پچ شود و دسترسی به رابط کاربری وب نیز باید محدود شود.

طبق گفته اداره سیگنال‌های استرالیا (ASD)، از ژوئیه 2025 بیش از 400 دستگاه به طور بالقوه در این کشور با BADCANDY و تا اواخر اکتبر 2025، بیش از 150 دستگاه در استرالیا با BADCANDY به خطر افتاده‌اند.

سیسکو سوءاستفاده فعال از CVE-2023-20198 را گزارش کرده که جزئیات بیشتر در مورد شاخص‌های به خطر افتادن، جزئیات پچ و توصیه‌های کاهش خطر در توصیه امنیتی اصلی سیسکو موجود است.

گروه هکری چینی « Salt Typhoon » معمولاً از آسیب‌پذیری CVE-2023-20198 سوءاستفاده کرده است.

اداره سیگنال‌های استرالیا در ژوئیه 2025، زمانی که حدود 300 دستگاه آلوده به BADCANDY در کشور وجود داشت، به قربانیان این حمله اطلاع داد. این آژانس دور دیگری از اعلان‌ها را در سپتامبر و دور سوم را در اکتبر امسال ارسال کرد. تعداد دستگاه‌های آلوده به طور پیوسته کاهش یافته، اما سرعت کاهش به اندازه کافی سریع نبوده است.

در این اطلاعیه آمده است:

«در حالی که هر عامل تهدیدی می‌تواند از این بدافزار استفاده کند، اداره سیگنال‌های استرالیا معتقد است که گروه‌های هکری و تحت حمایت دولت ممکن است از بدافزار BADCANDY استفاده کنند. عوامل مخرب سایبری به سوءاستفاده مجدد از دستگاه‌های قبلاً آلوده شده در جایی که دستگاه پچ نشده و رابط کاربری در معرض اینترنت قرار گرفته است، معروف هستند. این یک خطر مداوم برای شبکه‌های استرالیایی است.»