Wykorzystanie CVE-2026-88771 Celuje w Urządzenia Citrix NetScaler

Podsumowanie

Grupy aktorów zagrożeń aktywnie wykorzystują lukę dnia zerowego w Citrix NetScaler CVE-2026-88771 do wdrażania licznych powłok sieciowych i narzędzi zdalnego zarządzania. Obserwowana aktywność obejmuje powłoki sieciowe oparte na PHP, framework do zarządzania flotą Platypus, instalatory oparte na Perl oraz odwrócone powłoki Python. Wykorzystanie wykryto zarówno przed ujawnieniem, jak i krótko po tym, jak luka stała się publiczna.

Śledztwo

Jednostka odpowiedzi na zagrożenia eSentire zidentyfikowała kilka odrębnych klastrów ataków skierowanych na urządzenia NetScaler. Badacze pogrupowali tę aktywność na cztery kategorie: lekki klaster powłok PHP, klaster wdrożeń Platypus, klaster instalatorów powłok opartych na Perl oraz klaster odwróconych powłok Python. Analiza techniczna skupiła się na kodzie źródłowym powłok sieciowych, skryptach inscenizacji i zachowaniu poleceń poeksploatacyjnych.

Łagodzenie

Organizacje powinny priorytetowo traktować łatanie urządzeń Citrix NetScaler zgodnie z biuletynami bezpieczeństwa dostawcy, takimi jak CTX697096. Zespoły ds. bezpieczeństwa powinny monitorować nieautoryzowane zmiany konfiguracji Apache, modyfikacje uprawnień /bin/sh obejmujących bity SUID lub SGID oraz nieoczekiwane pliki utworzone w katalogach NetScaler. Silne filtrowanie wyjściowe może również pomóc w zakłóceniu komunikacji C2 odwróconych powłok.

Reakcja

Gdy zostaną wykryte artefakty eksploatacyjne, natychmiast izoluj dotknięte urządzenie NetScaler, aby ograniczyć ruch lateralny. Przeglądaj logi dostępu Apache, pliki konfiguracyjne systemu, takie jak /etc/httpd.conf i /flash/nsconfig/ns.conf, oraz zaplanowane zadania cron. Zidentyfikuj i usuń nieautoryzowane lokalne konta, złośliwe powłoki sieciowe i inne mechanizmy trwałości wykryte podczas śledztwa.

Symulacja wykonywania

• Narracja ataku i polecenia: Atakujący uzyskał początkowy dostęp do serwera WWW i dąży do uruchomienia powłoki sieciowej. Aby upewnić się, że powłoka zostanie uruchomiona, atakujący decyduje się zmodyfikować główny plik konfiguracyjny Apache. Dołącza dyrektywę wymuszającą włączanie silnika PHP dla wszystkich plików, co skutecznie pozwala na ich przesłanie i .txt plik zawierający kod PHP i jego wykonanie jako skrypt. Ta metoda jest wybierana w celu zapewnienia natychmiastowego wykonania bez konieczności zmiany nazwy plików.

• Skrypt testu regresji:

  #!/bin/bash
  # Symulacja: Nieautoryzowana modyfikacja konfiguracji Apache
  # Cel: Dołącz 'php_flag engine on' do /etc/httpd.conf, aby uruchomić regułę detekcji.
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  if [ ! -f "$TARGET_FILE" ]; then
      echo "Błąd: $TARGET_FILE nie istnieje. Symulacja nie może zostać przeprowadzona."
      exit 1
  fi
  
  echo "[+] Symulowanie ataku: Modyfikacja $TARGET_FILE z ładunkiem: $PAYLOAD"
  
  # Używanie sudo do symulacji atakującego z podwyższonymi uprawnieniami (typowe po eksploatacji)
  echo "$PAYLOAD" | sudo tee -a "$TARGET_FILE" > /dev/null
  
  if [ $? -eq 0 ]; then
      echo "[+] Symulacja ataku zakończona sukcesem. Sprawdź alerty SIEM."
  else
      echo "[-] Symulacja ataku nie powiodła się."
  fi

• Polecenia czyszczenia:

  #!/bin/bash
  # Czyszczenie: Usuń wstrzyknięty ładunek z /etc/httpd.conf
  
  TARGET_FILE="/etc/httpd.conf"
  PAYLOAD="php_flag engine on"
  
  echo "[+] Czyszczenie: Usuwanie $PAYLOAD z $TARGET_FILE"
  sudo sed -i "|$PAYLOAD|d" "$TARGET_FILE"
  
  echo "[+] Czyszczenie zakończone."