Citrix NetScaler ADC e Gateway Appliances Presi di Mira in Attacchi Attivi

Riepilogo

Gli attori delle minacce stanno attivamente sfruttando vulnerabilità zero-day nei dispositivi Citrix NetScaler ADC e Gateway per ottenere accesso a livello di root. Gli attacchi coinvolgono il dispiegamento di shell PHP personalizzate, inclusa WHIPSHOT, insieme a un tunnel TCP basato su Python noto come SLAPSHOT. Questi strumenti malevoli consentono la ricognizione interna, il furto di credenziali e il movimento laterale attraverso le reti aziendali compromesse.

Indagine

Mandiant e il Google Threat Intelligence Group hanno tracciato lo sfruttamento di CVE-2026-88772 e CVE-2026-88771 all’inizio di settembre 2026. I ricercatori hanno scoperto che gli attaccanti sfruttano intestazioni di record DTLS malformate per innescare la corruzione della memoria heap all’interno del processo NSPPE. L’attività successiva include la modifica di httpd.conf per stabilire la persistenza e l’assegnazione del bit SUID a /bin/sh per abilitare l’escalation dei privilegi.

Mitigazione

Le organizzazioni dovrebbero dare priorità all’aggiornamento dei dispositivi Citrix NetScaler alle versioni patchate (14.1-73.37+ o 13.1-64.23+). Dove non è possibile effettuare un patching immediato, i difensori dovrebbero disabilitare DTLS quando possibile e applicare l’iscrizione alla lista di controllo degli IP upstream per UDP/443. Limitare la connettività di rete in uscita, in particolare il traffico SMTP su TCP/25, può ulteriormente ridurre l’esposizione e interrompere le comunicazioni dell’attaccante.

Risposta

In caso di compromissione sospetta, i team di sicurezza dovrebbero isolare immediatamente i dispositivi NetScaler compromessi e sospendere la sincronizzazione HA per prevenire la propagazione di configurazioni malevoli. Ruotare tutti i segreti degli apparecchi, incluse le credenziali dell’amministratore, le chiavi SSH e i certificati TLS. Revocare le sessioni amministrative, Gateway e VPN attive e indagare a fondo sull’infrastruttura a valle per verificare la possibilità di movimenti laterali.

Esecuzione di Simulazione

• Narrazione & Comandi dell’Attacco: Un avversario ha ottenuto l’accesso iniziale a un server web basato su Linux e mira a stabilire una web shell persistente. Sfruttando una configurazione errata nel server web (simulando una vulnerabilità in Citrix NetScaler), l’attaccante modifica la configurazione per trattare i file .deb come script PHP. Ciò consente di caricare un payload malevolo camuffato da pacchetto Debian, che il server eseguirà poi come codice, fornendo all’attaccante un’interfaccia di esecuzione di comando remoto (RCE).

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per attivare la regola "Rilevamento Sfruttamento Configurazione Esecuzione PHP".
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # Assicurarsi che l'obiettivo esista a fini di simulazione
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] Simulazione dello sfruttamento della configurazione..."
  
  # Attivazione del modello di rilevamento AddHandler
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Attivazione del modello di rilevamento AliasMatch
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Attivazione del modello php_flag engine
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] Simulazione completata. Controllare SIEM per gli avvisi."

• Comandi di Pulizia:

  #!/bin/bash
  # Script di pulizia per rimuovere le configurazioni malevoli simulate.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] Pulizia dei file di simulazione in corso..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] Pulizia completata."