Предположительно, злоумышленники эксплуатируют уязвимости Citrix NetScaler

В отчёте описана предполагаемая эксплуатация в реальных условиях уязвимостей CVE-2026-88771 и CVE-2026-88772 в Citrix NetScaler ADC/Gateway. Первая позволяет удалённо выполнять код без аутентификации и связана с некорректной проверкой входных данных и обработкой журналов. Вторая связана с переполнением памяти в UDP/DTLS и может привести к отказу в обслуживании или удалённому выполнению кода.

Эксплуатация уязвимостей NetScaler

Для эксплуатации CVE-2026-88771 злоумышленники отправляют специально сформированные запросы, в том числе к конечным точкам аутентификации, таким как /nf/auth/doAuthentication.do. В результате вредоносные данные записываются в журналы NetScaler. Затем скрипт обслуживания ns_monuploadd_err.pl обрабатывает содержимое журналов и выполняет контролируемые злоумышленниками команды с правами root.

CVE-2026-88772 связана с переполнением памяти в UDP/DTLS. Её эксплуатация может привести к отказу в обслуживании или удалённому выполнению кода, при этом журналы и скрипты обслуживания не используются.

Инструменты и изменения на устройствах

Получив root-доступ, злоумышленники разворачивают механизмы закрепления и инструменты постэксплуатации. SLAPSHOT описан как локальный туннельный имплант на Python и Perl. Он слушает интерфейс обратной петли и предоставляет функции управления сессиями: позволяет открывать соединения с внутренними узлами по паре хост:порт, передавать данные и поддерживать несколько сессий. Среди связанных компонентов указаны agent.pl и slapshot.py.

Злоумышленники изменяют /etc/httpd.conf, чтобы файлы с нестандартными расширениями, включая .deb, .sig, .ico, .ctxs.receiver и .local_journal, интерпретировались как PHP. Это даёт доступ к замаскированным веб-шеллам через легитимные на вид веб-пути. Такие веб-шеллы размещены, в частности, в каталогах /var/netscaler/logon/LogonPoint/custom/ и /vpn/scripts/linux/.

WHIPSHOT описан как защищённый паролем PHP веб-шелл для взаимодействия с SLAPSHOT или его запуска. Он поддерживает выполнение команд, загрузку и скачивание файлов. В качестве альтернативного или дополнительного агента C2 упоминается Platypus.

В отчёте также описан установщик Pitboss на Perl. Он пытается сохранить доступ во время сбоев, вмешиваясь в работу watchdog. Установщик создаёт привилегированную учётную запись NetScaler, архивирует и выводит конфигурационные данные, меняет режим файла /bin/sh на SUID-root, используя значение 6555, размещает .local_journal, модифицирует конфигурацию HTTP-сервера и перезагружает службу.

В перечень инфраструктуры входят IP-адреса:

• 64.94.85.67
• 62.133.62.80
• 31.56.197.72
• 23.27.143.20
• 45.141.21.130

Авторы отчёта рекомендуют обновить затронутые устройства до исправленных сборок 14.1-73.37, 13.1-64.23 или более поздних эквивалентных выпусков.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.