시트릭스 NetScaler ADC 및 게이트웨이 어플라이언스, 현재 공격의 표적이 되다

요약

위협 행위자들이 Citrix NetScaler ADC 및 Gateway 장치의 제로 데이 취약점을 적극적으로 악용하여 루트 수준의 접근을 얻고 있습니다. 이 공격은 WHIPSHOT을 포함한 맞춤형 PHP 웹 셸과 SLAPSHOT으로 알려진 파이썬 기반의 TCP 터널러를 배포하는 것을 포함합니다. 이러한 악성 도구들은 내부 정찰, 자격 증명 도난, 및 타협된 기업 네트워크 전반의 측면 이동을 가능하게 합니다.

조사

Mandiant 및 Google 위협 인텔리전스 그룹은 CVE-2026-88772 및 CVE-2026-88771의 악용을 2026년 9월 초로 추적하였습니다. 연구자들은 공격자들이 잘못된 DTLS 레코드 헤더를 이용하여 NSPPE 프로세스 내에서 힙 메모리 손상을 유발한다고 밝혔습니다. 그 후의 활동에는 httpd.conf 를 수정하여 지속성을 확보하고 SUID 비트를 /bin/sh 에 할당하여 권한 상승을 가능하게 합니다.

완화 방법

조직은 Citrix NetScaler 장치를 패치된 버전(14.1-73.37+ 또는 13.1-64.23+)으로 업그레이드하는 것을 우선시해야 합니다. 즉각적인 패치가 불가능할 경우, 방어자는 가능하다면 DTLS를 비활성화하고 UDP/443의 업스트림 IP 허용 목록을 강화해야 합니다. 특히 TCP/25로의 SMTP 트래픽을 제한하면 노출을 더 줄이고 공격자 통신을 방해할 수 있습니다.

대응

타협이 의심되는 경우, 보안 팀은 영향을 받은 NetScaler 장치를 즉시 격리하고 악성 구성의 전파를 방지하기 위해 HA 동기화를 일시 중지해야 합니다. 관리자 자격 증명, SSH 키, TLS 인증서를 포함한 모든 장치 비밀을 로테이션하고, 활성 관리자, Gateway, VPN 세션을 취소하며 측면 이동의 증거를 찾기 위해 하류 인프라를 철저히 조사해야 합니다.

시뮬레이션 실행

• 공격 서술 및 명령: 공격자가 리눅스 기반 웹 서버에 초기 접근을 얻고 지속적인 웹 셸을 설정하려고 합니다. 웹 서버의 잘못된 설정을 악용하여 (Citrix NetScaler 취약성을 시뮬레이션), 공격자는 .deb 파일을 PHP 스크립트로 취급하도록 설정을 수정합니다. 이는 그들이 악성 페이로드를 Debian 패키지로 위장하여 업로드할 수 있게 하며, 서버는 이를 코드로 실행하여 공격자에게 원격 명령 실행(RCE) 인터페이스를 제공합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # "PHP 실행 구성 악용 탐지" 규칙을 유발하는 시뮬레이션 스크립트.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # 시뮬레이션을 위한 대상 존재 보장
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] 구성 악용 시뮬레이션 중..."
  
  # AddHandler 탐지 패턴 유발
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # AliasMatch 탐지 패턴 유발
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # php_flag 엔진 패턴 유발
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] 시뮬레이션 완료. SIEM에서 알림 확인."

• 정리 명령:

  #!/bin/bash
  # 시뮬레이션된 악성 구성을 제거하는 정리 스크립트.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] 시뮬레이션 파일 정리 중..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] 정리 완료."