BadCandy-Infektionen lösen Warnung zu Cisco-Geräten in Australien aus

BadCandy-Infektionen zielen weiterhin auf ungepatchte Cisco IOS XE-Geräte ab, weshalb die australischen Cybersicherheitsbehörden eine dringende Warnung veröffentlicht haben. Die Behörden weisen darauf hin, dass Angreifer eine bereits bekannte Cisco-Schwachstelle erneut ausnutzen, um Administratorzugriff zu erhalten und dauerhafte Zugriffsmechanismen zu installieren. Obwohl Cisco die erforderlichen Sicherheitsupdates bereits vor langer Zeit bereitgestellt hat, sind viele Geräte noch immer öffentlich erreichbar. Das führt zu erheblichen Risiken für Behörden, Unternehmen und Netzwerkbetreiber.

Die Schwachstelle im Zentrum der Angriffe

Die Angriffe nutzen eine zuvor veröffentlichte Schwachstelle aus, die eine entfernte, nicht authentifizierte Anmeldung an Cisco IOS XE-Systemen ermöglichte. Wenn Web-Administrationsoberflächen offen zugänglich bleiben, können Angreifer privilegierte Konten anlegen und ein leichtgewichtiges Web-Shell namens BadCandy installieren.

Dieses Shell ermöglicht dauerhaft Kontrolle über das Gerät. Angreifer können Konfigurationen ändern, Datenverkehr überwachen und sich weiter im Netzwerk ausbreiten. Es werden keine gültigen Zugangsdaten benötigt, was ungepatchte Systeme zu einfachen Zielen macht.

Deutlicher Anstieg kompromittierter Geräte

Australische Behörden berichten von mehr als 400 potenziell betroffenen Geräten in den letzten Monaten. Über 150 Systeme sind bestätigt kompromittiert, trotz vorheriger Bereinigungsversuche. Ermittler entdeckten Fälle, bei denen Geräte gesäubert wurden, jedoch später erneut infiziert waren. Dieses Muster zeigt, dass Angreifer ungepatchte Umgebungen überwachen und den Zugriff automatisch wiederherstellen, sobald Geräte neu starten oder auf unsichere Konfigurationen zurückfallen.

Warum BadCandy weiterhin erfolgreich ist

BadCandy bleibt wirksam, weil viele Netzwerkgeräte nicht gepatcht wurden und weiterhin aus dem Internet erreichbar sind. Das Implantat verschwindet zwar nach einem Neustart, doch die zugrunde liegende Schwachstelle ermöglicht eine erneute Infektion innerhalb kurzer Zeit.

Sicherheitsanalysten gehen davon aus, dass sowohl cyberkriminelle Gruppen als auch staatlich unterstützte Akteure die Schwachstelle nutzen. Der Vorfall zeigt ein grundlegendes Problem. Netzwerkgeräte erhalten Sicherheitsupdates oft später als Server und Endpunkte, obwohl sie kritische Netzwerkknoten darstellen.

Handlungsempfehlungen für Administratoren

Australische Behörden raten Administratoren zu sofortigen Maßnahmen. Wichtige Schritte sind:

• Sicherstellen, dass neueste Sicherheitsupdates installiert sind
• Web-Administrationszugänge aus dem Internet deaktivieren, wenn möglich
• Administratorzugriff auf interne vertrauenswürdige Netze beschränken
• Logdateien auf verdächtige Konten oder Änderungen prüfen
• Geräte nach dem Patchen neu starten, um Implantate zu entfernen
• Externe Scans durchführen, um vergessene oder veraltete Geräte zu identifizieren

Regelmäßige Audits sind wichtig, besonders in Organisationen mit vielen IOS XE-Geräten an Außenstandorten, Zweigstellen und Netzwerkrändern.

Fazit

BadCandy-Angriffe verdeutlichen eine klare und kostspielige Realität. Ungepatchte Netzwerkgeräte zählen zu den einfachsten Zielen für hartnäckige Angreifer. Die erneute Angriffswelle in Australien zeigt, dass alte Schwachstellen ein erhebliches Risiko darstellen, wenn sie ignoriert werden. Schnelles Patchen, strenge Zugangskontrolle und kontinuierliche Überwachung sind notwendig, um Angreifer vom erneuten Zugriff auf kritische Infrastruktur abzuhalten.