BADCANDY

Source et contexte: cyber.gov.au (Australian Government/ASD) publie une alerte sur l’implant « BADCANDY » observé depuis octobre 2023, avec une activité renouvelée en 2024‑2025, ciblant des équipements Cisco IOS XE vulnérables à CVE‑2023‑20198. ⚠️ L’ASD décrit BADCANDY comme un web shell Lua « low equity » installé après exploitation de l’interface Web (UI) de Cisco IOS XE. Les acteurs appliquent souvent un patch non persistant post‑compromission pour masquer l’état de vulnérabilité lié à CVE‑2023‑20198. La présence de BADCANDY indique une compromission via cette faille. L’implant ne persiste pas après redémarrage, mais des accès peuvent perdurer si des identifiants ou d’autres mécanismes de persistance ont été acquis; le correctif de CVE‑2023‑20198 doit être appliqué et l’accès à l’UI Web restreint. ...