Експлуатація CVE-2026-88771 націлена на пристрої Citrix NetScaler

Короткий огляд

Групи загроз активно експлуатують уразливість нульового дня Citrix NetScaler CVE-2026-88771 для впровадження кількох веб-шеллів та інструментів віддаленого управління. Спостережена активність включає веб-шелли на основі PHP, фреймворк управління флотом Platypus, інсталятори на основі Perl та зворотні шелли Python. Експлуатація була виявлена як до, так і відразу після оприлюднення вразливості.

Дослідження

Підрозділ реагування на загрози eSentire виявив кілька окремих кластерів атак, що націлені на пристрої NetScaler. Дослідники згрупували цю активність у чотири категорії: кластер легковагих веб-шелл на базі PHP, кластер впровадження Platypus, кластер інсталяторів на базі Perl та кластер зворотних шеллів на Python. Технічний аналіз зосередився на вихідному коді веб-шеллів, скриптах підготовки та поведінці команд постексплуатації.

Пом’якшення

Організації повинні пріоритетно встановити виправлення для пристроїв Citrix NetScaler згідно з рекомендаціями з безпеки постачальника, такими як CTX697096. Команди з безпеки повинні здійснювати моніторинг несанкціонованих змін у конфігураціях Apache, змін дозволів для /bin/sh з використанням біта SUID або SGID та несподіваних файлів, створених у каталогах NetScaler. Сильна фільтрація вихідних з’єднань також може допомогти порушити комунікації з зворотними шеллами C2.

Відповідь

При виявленні артефактів експлуатації негайно ізолюйте уражений пристрій NetScaler, щоб обмежити латеральний рух. Перевірте журнали доступу Apache, системні конфігураційні файли, такі як /etc/httpd.conf та /flash/nsconfig/ns.conf, а також заплановані завдання cron. Виявляйте та видаляйте несанкціоновані локальні облікові записи, зловмисні веб-шелли та інші механізми збереження, виявлені під час розслідування.

Виконання симуляції

• Сценарій атаки & Команди: Зловмисник отримав початковий доступ до веб-сервера і прагне увімкнути веб-шелл. Щоб забезпечити виконання шеллу, зловмисник вирішує змінити основний конфігураційний файл Apache. Зловмисник додає директиву, щоб увімкнути PHP рушій для всіх файлів, фактично дозволяючи їм завантажувати .txt файл, що містить PHP-код, та виконувати його як скрипт. Цей метод обрано, щоб забезпечити негайне виконання без необхідності перейменовувати файли.

• Скрипт регресійного тесту:

  #!/bin/bash
  # Симуляція: Несанкціонована модифікація конфігурації Apache
  # Мета: Додати 'php_flag engine on' до /etc/httpd.conf, щоб активувати правило виявлення.
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  if [ ! -f "$TARGET_FILE" ]; then
      echo "Помилка: $TARGET_FILE не існує. Симуляція не може продовжуватися."
      exit 1
  fi
  
  echo "[+] Симуляція атаки: Модифікація $TARGET_FILE з навантаженням: $PAYLOAD"
  
  # Використовуючи sudo для симуляції зловмисника з підвищеними правами (типово у постексплуатації)
  echo "$PAYLOAD" | sudo tee -a "$TARGET_FILE" > /dev/null
  
  if [ $? -eq 0 ]; then
      echo "[+] Симуляція атаки успішна. Перевірте SIEM на наявність попереджень."
  else
      echo "[-] Симуляція атаки не вдалася."
  fi

• Команди для очищення:

  #!/bin/bash
  # Очистити: Видалити впроваджене навантаження з /etc/httpd.conf
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  echo "[+] Очищення: Видаляю $PAYLOAD з $TARGET_FILE"
  sudo sed -i "|$PAYLOAD|d" "$TARGET_FILE"
  
  echo "[+] Очищення завершено."