CVE-2026-88771 악용이 Citrix NetScaler 어플라이언스를 타겟으로 하다

요약

위협 행위자는 Citrix NetScaler 제로데이 취약점 CVE-2026-88771을 적극적으로 악용하여 여러 웹 셸과 원격 관리 도구를 배포하고 있습니다. 관찰된 활동에는 PHP 기반 웹 셸, Platypus 차량 관리 프레임워크, Perl 기반 설치 프로그램 및 Python 리버스 셸이 포함됩니다. 이 취약점의 공개 전과 직후 모두에서 악용이 감지되었습니다.

조사

eSentire의 위협 대응 팀은 NetScaler 장치를 대상으로 한 여러 개의 특정 공격 클러스터를 식별했습니다. 연구원들은 이 활동을 네 가지 카테고리로 분류했습니다: 경량 PHP 웹 셸 클러스터, Platypus 배포 클러스터, Perl 기반 웹 셸 설치 프로그램 클러스터, Python 리버스 셸 클러스터. 기술 분석은 웹 셸 소스 코드, 스테이징 스크립트 및 보안 침해 후 명령 동작에 중점을 두었습니다.

완화

조직은 CTX697096과 같은 벤더 보안 공지에 따라 Citrix NetScaler 장치를 패치하는 것을 우선시해야 합니다. 보안 팀은 무단 Apache 구성 변경, SUID 또는 SGID 비트와 관련된 /bin/sh 권한 수정 및 NetScaler 디렉터리 내에 생성된 예상치 못한 파일을 모니터링해야 합니다. 강력한 이그레스 필터링은 또한 리버스 셸 C2 통신을 방해하는 데 도움이 될 수 있습니다.

대응

악용 아티팩트가 감지되면 즉시 감염된 NetScaler 장치를 격리하여 수평 이동을 제한하십시오. Apache 액세스 로그, /etc/httpd.conf 및 /flash/nsconfig/ns.conf와 같은 시스템 구성 파일 및 예약된 크론 작업을 검토하십시오. 조사 중 발견된 무단 로컬 계정, 악성 웹 셸 및 기타 영속성 메커니즘을 식별하고 제거하십시오.

시뮬레이션 실행

• 공격 내러티브 & 명령: 공격자는 웹 서버에 초기 접근을 하고 웹 셸을 활성화하려고 합니다. 셸 실행을 보장하기 위해 공격자는 기본 Apache 구성 파일을 수정하기로 결정합니다. 공격자는 모든 파일에 대해 PHP 엔진을 ‘on’으로 설정하는 지시문을 추가하여, .txt PHP 코드를 포함한 파일을 업로드하고 이를 스크립트로 실행할 수 있도록 합니다. 이 방법은 파일 이름을 변경할 필요 없이 즉각적인 실행을 보장하기 위해 선택되었습니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # 시뮬레이션: 무단 Apache 구성 수정
  # 목표: 탐지 규칙을 트리거하기 위해 'php_flag engine on'을 /etc/httpd.conf에 추가합니다.
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  if [ ! -f "$TARGET_FILE" ]; then
      echo "오류: $TARGET_FILE이 존재하지 않습니다. 시뮬레이션을 진행할 수 없습니다."
      exit 1
  fi
  
  echo "[+] 공격 시뮬레이션: $TARGET_FILE 수정, 페이로드: $PAYLOAD"
  
  # 포스트 익스플로잇 후의 전형적인 권한 상승 사용자로 공격자 시뮬레이션
  echo "$PAYLOAD" | sudo tee -a "$TARGET_FILE" > /dev/null
  
  if [ $? -eq 0 ]; then
      echo "[+] 공격 시뮬레이션 성공. SIEM에서 경고 확인." else
      echo "[-] 공격 시뮬레이션 실패."
  fi

• 정리 명령:

  #!/bin/bash
  # 정리: /etc/httpd.conf에서 삽입된 페이로드를 제거합니다.
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  echo "[+] 정리: $TARGET_FILE에서 $PAYLOAD 제거"
  sudo sed -i "|$PAYLOAD|d" "$TARGET_FILE"
  
  echo "[+] 정리 완료."