Sfruttamento di CVE-2026-88771 Obiettivi Citrix NetScaler Appliances

Riepilogo

I cluster di attori della minaccia stanno sfruttando attivamente la vulnerabilità zero-day di Citrix NetScaler CVE-2026-88771 per distribuire più web shell e strumenti di gestione remota. L’attività osservata include web shell basate su PHP, il framework di gestione delle flotte Platypus, installer basati su Perl e reverse shell Python. Lo sfruttamento è stato rilevato sia prima della divulgazione che poco dopo che la vulnerabilità è diventata pubblica.

Indagine

L’Unità di Risposta alle Minacce di eSentire ha identificato diversi cluster di attacchi distinti che mirano ai dispositivi NetScaler. I ricercatori hanno raggruppato l’attività in quattro categorie: un cluster di web shell PHP leggere, un cluster di distribuzione Platypus, un cluster di installatore di web shell basato su Perl e un cluster di reverse shell Python. L’analisi tecnica si è concentrata sul codice sorgente delle web shell, sugli script di staging e sul comportamento dei comandi post-sfruttamento.

Mitigazione

Le organizzazioni dovrebbero prioritizzare l’applicazione delle patch ai dispositivi Citrix NetScaler in conformità con i bollettini di sicurezza del fornitore, come CTX697096. I team di sicurezza dovrebbero monitorare modifiche non autorizzate alla configurazione di Apache, modifiche ai permessi di /bin/sh che coinvolgono i bit SUID o SGID e file imprevisti creati all’interno delle directory di NetScaler. Un forte filtraggio in uscita può anche aiutare a interrompere le comunicazioni C2 delle reverse shell.

Risposta

Quando vengono rilevati artefatti di sfruttamento, isolare immediatamente il dispositivo NetScaler interessato per limitare il movimento laterale. Rivedere i log di accesso di Apache, i file di configurazione del sistema come /etc/httpd.conf e /flash/nsconfig/ns.conf e i lavori cron programmati. Identificare e rimuovere account locali non autorizzati, web shell malevoli e altri meccanismi di persistenza scoperti durante l’indagine.

Esecuzione della Simulazione

• Narrazione & Comandi dell’Attacco: Un attaccante ha ottenuto l’accesso iniziale a un server web e cerca di abilitare una web shell. Per garantire l’esecuzione della shell, l’attaccante decide di modificare il file di configurazione principale di Apache. L’aggressore aggiunge una direttiva per forzare l’attivazione del motore PHP per tutti i file, consentendo di caricare un .txt file contenente codice PHP ed eseguirlo come script. Questo metodo è scelto per garantire l’esecuzione immediata senza dover rinominare i file.

• Script di Test di Regressione:

  #!/bin/bash
  # Simulazione: Modifica Non Autorizzata della Configurazione Apache
  # Obiettivo: Aggiungere 'php_flag engine on' a /etc/httpd.conf per attivare la regola di rilevamento.
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  if [ ! -f "$TARGET_FILE" ]; then
      echo "Errore: $TARGET_FILE non esiste. La simulazione non può procedere."
      exit 1
  fi
  
  echo "[+] Simulazione attacco: Modifica di $TARGET_FILE con payload: $PAYLOAD"
  
  # Usando sudo per simulare un attaccante con privilegi elevati (tipico nel post-sfruttamento)
  echo "$PAYLOAD" | sudo tee -a "$TARGET_FILE" > /dev/null
  
  if [ $? -eq 0 ]; then
      echo "[+] Simulazione di attacco riuscita. Controllare gli allarmi SIEM."
  else
      echo "[-] Simulazione di attacco fallita."
  fi

• Comandi di Pulizia:

  #!/bin/bash
  # Pulizia: Rimuovere il payload iniettato da /etc/httpd.conf
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  echo "[+] Pulizia: Rimozione di $PAYLOAD da $TARGET_FILE"
  sudo sed -i "|$PAYLOAD|d" "$TARGET_FILE"
  
  echo "[+] Pulizia completata."