De Australische overheid waarschuwt organisaties voor routers en switches van Cisco die met de "Badcandy" malware besmet zijn. Badcandy is een webshell waarmee aanvallers toegang tot gecompromitteerde Cisco-apparaten behouden. Voor de infectie van de Cisco-apparaten wordt gebruik gemaakt van een kwetsbaarheid in Cisco IOS XE, aangeduid als CVE-2023-20198, die daarna door de aanvallers wordt gepatcht.

Cisco IOS XE is een besturingssysteem dat op switches en routers van het netwerkbedrijf kan draaien en wordt omschreven als een 'nieuwe en verbeterde' versie van Cisco's IOS-besturingssysteem. CVE-2023-20198 bevindt zich in de web user interface van IOS XE en maakt het mogelijk voor een ongeauthenticeerde aanvaller om een account met 'privilege 15' aan te maken. Via dit account kan de aanvaller controle over het systeem krijgen. Het probleem raakt zowel fysieke als virtuele devices die IOS XE draaien. De impact van CVE-2023-20198 is op een schaal van 1 tot en met 10 beoordeeld met een 10.0.

Cisco kwam in oktober 2023 met beveiligingsupdates voor het probleem. In juli van dit jaar waren er volgens het Australische Cyber Security Centre in Australië nog zo'n vierhonderd Cisco-routers met Badcandy besmet. Dat aantal is inmiddels gedaald naar iets meer dan honderdvijftig, maar toch is het volgens de Australische overheidsinstantie belangrijk dat organisaties alert op de malware zijn. Daarnaast installeren de aanvallers zodra ze via CVE-2023-20198 toegang hebben gekregen een niet-persistente patch om het probleem te verhelpen.

De Badcandy-malware kan een reboot van het Cisco-apparaat niet overleven, maar als een aanvaller inloggegevens heeft bemachtigd of een andere manier van "persistence" heeft gevonden, kan die wel toegang tot het apparaat blijven houden. De Australische overheid roept organisaties op om de beveiligingsupdate van twee jaar geleden te installeren en hun Cisco-apparaten op de aanwezigheid van aanvallers te controleren. Daarnaast zijn de gecompromitteerde Australische organisaties door het Australische Cyber Security Centre ingelicht. Eerder dit jaar meldde de Canadese overheid dat een niet nader genoemd telecombedrijf via het Cisco-lek was gehackt.