Апаратні засоби Citrix NetScaler ADC і Gateway стають мішенню активних атак

Резюме

Зловмисники активно експлуатують вразливості нульового дня в пристроях Citrix NetScaler ADC і Gateway, щоб отримати доступ на рівні root. Атаки включають розгортання нестандартних PHP веб-шелів, у тому числі WHIPSHOT, разом з тунелером TCP на основі Python, відомим як SLAPSHOT. Ці шкідливі інструменти дозволяють виконувати внутрішню розвідку, крадіжку облікових даних і латеральний рух в умовах скомпрометованих корпоративних мереж.

Розслідування

Mandiant і Google Threat Intelligence Group відстежили експлуатацію CVE-2026-88772 і CVE-2026-88771 до початку вересня 2026 року. Дослідники виявили, що нападники використовують неправильно сформовані заголовки записів DTLS, щоб викликати корупцію купи пам’яті в процесі NSPPE. Наступна активність включає модифікацію httpd.conf для встановлення стійкості та присвоєння біт SUID файлу /bin/sh для підвищення привілеїв.

Пом’якшення

Організації повинні пріоритезувати оновлення пристроїв Citrix NetScaler до за латаних версій (14.1-73.37+ або 13.1-64.23+). Де негайне виправлення неможливе, захисники повинні відключити DTLS, коли це можливо, і впроваджувати список дозволених IP для UDP/443 на рівні вузла. Обмеження вихідної мережної зв’язності, зокрема SMTP-трафіку через TCP/25, може ще більше знизити експозицію та порушити комунікацію зловмисників.

Відповідь

Якщо ви підозрюєте компрометацію, команди безпеки повинні негайно ізолювати уражені пристрої NetScaler і призупинити синхронізацію HA, щоб запобігти поширенню шкідливих конфігурацій. Обновіть всі секрети пристроїв, включаючи облікові дані адміністратора, ключі SSH та сертифікати TLS. Скасуйте активні адміністративні, Gateway та VPN-сесії та ретельно розслідуйте нижчестоящу інфраструктуру на наявність доказів латерального руху.

Виконання симуляції

• Опис атаки та команди: Зловмисник отримав початковий доступ до веб-сервера на базі Linux та планує встановити постійний веб-шелл. Вислівши уразливість в конфігурації веб-сервера (симуляція вразливості Citrix NetScaler), зловмисник модифікує конфігурацію для обробки .deb файли як PHP-скрипти. Це дозволяє їм завантажити шкідливе навантаження, замасковане під пакет Debian, який сервер потім виконуватиме як код, надаючи зловмиснику інтерфейс віддаленого виконання команд (RCE).

• Регресійний тестовий сценарій:

  #!/bin/bash
  # Сценарій для симуляції запуску правила "Виявлення експлуатації конфігурації PHP виконання".
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  # Переконатися, що ціль існує для цілей симуляції
  sudo mkdir -p /etc/apache2/mods-enabled/
  sudo touch $TARGET_CONF
  
  echo "[+] Імітація експлуатації конфігурації..."
  
  # Запуск шаблону виявлення AddHandler
  echo "AddHandler application/x-httpd-php .deb" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Запуск шаблону виявлення AliasMatch
  echo "AliasMatch ^/vpn/media/(.+).ico$ /var/netscaler/gui/vpn/scripts/linux/$1.sig" | sudo tee -a $TARGET_CONF > /dev/null
  
  # Запуск шаблону php_flag engine
  echo "php_flag engine on" | sudo tee -a $TARGET_CONF > /dev/null
  
  echo "[+] Симуляція завершена. Перевірте SIEM на наявність оповіщень."

• Команди очищення:

  #!/bin/bash
  # Сценарій очищення для видалення змодельованих шкідливих конфігурацій.
  
  TARGET_CONF="/etc/apache2/mods-enabled/php.conf"
  
  if [ -f "$TARGET_CONF" ]; then
      echo "[+] Очищення файлів симуляції..."
      sudo rm "$TARGET_CONF"
  fi
  
  echo "[+] Очищення завершено."