Appareils Citrix NetScaler ADC et Gateway visés dans des attaques actives

Résumé

Les acteurs de la menace exploitent activement des vulnérabilités zero-day dans les appareils Citrix NetScaler ADC et Gateway pour obtenir un accès de niveau root. Les attaques impliquent le déploiement de web shells PHP personnalisés, y compris WHIPSHOT, ainsi qu’un tunneler TCP basé sur Python connu sous le nom de SLAPSHOT. Ces outils malveillants permettent de réaliser une reconnaissance interne, de voler des identifiants et de se déplacer latéralement à travers les réseaux d’entreprises compromis.

Enquête

Mandiant et Google Threat Intelligence Group ont retracé l’exploitation de CVE-2026-88772 et CVE-2026-88771 à début septembre 2026. Les chercheurs ont découvert que les attaquants exploitent des en-têtes de records DTLS mal formés pour déclencher une corruption de la mémoire heap dans le processus NSPPE. L’activité subséquente inclut la modification de httpd.conf pour établir une persistance et assigner le bit SUID à /bin/sh pour permettre une élévation de privilèges.

Atténuation

Les organisations devraient prioriser la mise à niveau des appareils Citrix NetScaler vers des versions corrigées (14.1-73.37+ ou 13.1-64.23+). Lorsque le patch immédiat n’est pas réalisable, les défenseurs devraient désactiver DTLS lorsque c’est possible et appliquer une liste d’autorisation IP montante pour UDP/443. Limiter la connectivité réseau sortante, en particulier le trafic SMTP sur TCP/25, peut réduire encore plus l’exposition et perturber les communications des attaquants.

Réponse

En cas de compromission suspectée, les équipes de sécurité doivent immédiatement isoler les appareils NetScaler affectés et suspendre la synchronisation en haute disponibilité pour empêcher la propagation des configurations malveillantes. Faites pivoter tous les secrets des appareils, y compris les identifiants d’administrateur, les clés SSH et les certificats TLS. Révoquez les sessions administratives, Gateway et VPN actives, et enquêtez minutieusement sur l’infrastructure en aval pour chercher des preuves de mouvement latéral.

Exécution de Simulation

• Narrative d’attaque & Commandes : Un adversaire a obtenu un accès initial à un serveur Web basé sur Linux et vise à établir un web shell persistant. En exploitant une mauvaise configuration du serveur Web (simulant une vulnérabilité Citrix NetScaler), l’attaquant modifie la configuration pour traiter .deb les fichiers comme des scripts PHP. Cela leur permet de télécharger une charge utile malveillante déguisée en paquet Debian, que le serveur exécutera ensuite comme du code, fournissant ainsi à l’attaquant une interface d’exécution de commande à distance (RCE).

• Script de Test de Régression :

  #!/bin/bash
  # Script de simulation pour déclencher la règle "Détecter l'exploitation de la configuration d'exécution PHP".
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # Assurez-vous que la cible existe à des fins de simulation
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] Simulation de l'exploitation de la configuration..."
  
  # Déclencher le modèle de détection AddHandler
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Déclencher le modèle de détection AliasMatch
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Déclencher le modèle de motif php_flag engine
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] Simulation terminée. Vérifiez les alertes dans le SIEM."

• Commandes de Nettoyage :

  #!/bin/bash
  # Script de nettoyage pour supprimer les configurations malveillantes simulées.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] Nettoyage des fichiers de simulation..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] Nettoyage terminé."