Citrix NetScaler ADC- und Gateway-Appliances als Ziel von aktiven Angriffen

Zusammenfassung

Bedrohungsakteure nutzen aktiv Zero-Day-Schwachstellen in Citrix NetScaler ADC- und Gateway-Geräten aus, um Root-Zugriff zu erhalten. Die Angriffe beinhalten den Einsatz von maßgeschneiderten PHP-Webshells, einschließlich WHIPSHOT, zusammen mit einem Python-basierten TCP-Tunneler namens SLAPSHOT. Diese bösartigen Werkzeuge ermöglichen interne Aufklärung, Credential-Diebstahl und laterale Bewegungen in kompromittierten Unternehmensnetzwerken.

Untersuchung

Mandiant und die Google Threat Intelligence Group verfolgten die Ausnutzung von CVE-2026-88772 und CVE-2026-88771 bis Anfang September 2026 zurück. Forscher entdeckten, dass Angreifer fehlerhafte DTLS-Record-Header nutzen, um einen Speicherkorruptionsfehler im NSPPE-Prozess auszulösen. Nachfolgende Aktivitäten umfassen die Änderung von httpd.conf um Persistenz zu etablieren und das SUID-Bit zuzuweisen an /bin/sh um Privilegieneskalation zu ermöglichen.

Minderung

Organisationen sollten die Citrix NetScaler-Geräte auf gepatchte Versionen (14.1-73.37+ oder 13.1-64.23+) aktualisieren. Wo sofortiges Patchen nicht möglich ist, sollten Verteidiger DTLS nach Möglichkeit deaktivieren und eine Upstream-IP-Erlaubnisliste für UDP/443 durchsetzen. Die Einschränkung der ausgehenden Netzwerkverbindungen, insbesondere SMTP-Verkehr über TCP/25, kann die Exposition weiter reduzieren und Angreiferkommunikationen stören.

Reaktion

Wenn ein Kompromiss vermutet wird, sollten Sicherheitsteams die betroffenen NetScaler-Geräte sofort isolieren und die HA-Synchronisation aussetzen, um die Ausbreitung bösartiger Konfigurationen zu verhindern. Alle Geräteschlüssel, einschließlich Administratoranmeldeinformationen, SSH-Schlüssel und TLS-Zertifikate, rotieren. Aktive Verwaltungs-, Gateway- und VPN-Sitzungen widerrufen und die nachgelagerte Infrastruktur gründlich auf Anzeichen lateral Bewegungen untersuchen.

Simulation Ausführung

• Angriffserzählung & Befehle: Ein Gegner hat initialen Zugriff auf einen Linux-basierten Webserver erlangt und beabsichtigt, eine persistente Webshell zu etablieren. Durch das Ausnutzen einer Fehlkonfiguration im Webserver (simuliert eine Citrix NetScaler-Schwachstelle) ändert der Angreifer die Konfiguration, um .deb Dateien als PHP-Skripte zu behandeln. Dies ermöglicht es ihnen, eine bösartige Nutzlast hochzuladen, getarnt als Debian-Paket, das der Server dann als Code ausführt, was dem Angreifer eine Schnittstelle zur Remote Code Execution (RCE) bietet.

• Regressionstestskript:

  #!/bin/bash
  # Simulationsskript zur Auslösung der Regel "Detect PHP Execution Configuration Exploitation".
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # Sicherstellen, dass das Ziel zu Simulationszwecken existiert
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] Simulierung der Konfigurationsausbeutung..."
  
  # Auslösung des AddHandler-Erkennungsmusters
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Auslösung des AliasMatch-Erkennungsmusters
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Auslösung des php_flag engine-Musters
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Alarme."

• Bereinigungskommandos:

  #!/bin/bash
  # Bereinigungsskript zum Entfernen simulierter bösartiger Konfigurationen.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] Bereinigung der Simulationsdateien..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] Bereinigung abgeschlossen."