Злоумышленники использовали Citrix NetScaler для разведки внутренней сети

В начале октября 2026 года злоумышленники получили несанкционированный доступ к доступному из интернета устройству Citrix NetScaler ADC с уязвимой сборкой версии 14.1. Атака была направлена на механизмы аутентификации NetScaler и развёртывания SAML. По имеющимся данным, злоумышленники использовали в связке CVE-2026-88771, позволяющую до аутентификации отравлять журналы и выполнять удалённый код, и CVE-2026-88779, которая приводит к сбою при обработке SAML.

Закрепление и повышение привилегий

Злоумышленники внедрили контролируемый ими текст в имя пользователя при аутентификации. Это вызвало многократные сбои процесса nsaaad и перезагрузку Pitboss. После перезагрузки обработчик сбоев call-home обработал сохранённый текст, что привело к выполнению полезной нагрузки с правами root.

Для закрепления злоумышленники установили несколько механизмов:

• задания cron;
• модификации файла rc.netscaler;
• циклы мониторинга;
• исходящие обратные агенты;
• TCP-прокси с HTTP-фронтендом.

Также злоумышленники создали PHP-веб-шеллы с аутентификацией по cookie и отображали URL, похожие на CSS, на обработчики шеллов. Чтобы повысить привилегии из обычно ограниченной учётной записи Apache, они изменили права доступа к /bin/sh на режим 6555, что обеспечило фактические права root. Синхронизация HA и принудительное переключение использовались в попытке сохранить доступ в паре устройств NetScaler.

Компоненты на Python обеспечивали HTTP-туннель. Он принимал команды, закодированные в base64, в заголовках и возвращал ответы в телах HTTP 404.

Разведка внутренней сети и подготовка данных

Скомпрометированное устройство использовалось как привилегированная внутренняя платформа для разведки. Сканер на базе Go перечислял локальные интерфейсы и маршруты, обнаруживал шлюзы, расширял подсети, идентифицировал DNS-серверы и домены. Он также предпринимал попытки передачи зон DNS, выполнял запросы к LDAP и Active Directory через анонимные привязки и запросы RootDSE, искал данные каталога, проверял службы управления, исследовал TLS-сертификаты и идентифицировал системы VMware vCenter.

Загрузчик скачал и проверил бинарный файл разведки для FreeBSD. С его помощью проводились широкие сканирования в адресном пространстве RFC1918, а также целенаправленное сканирование на основе результатов DNS и LDAP.

Злоумышленники подготовили к эксфильтрации следующие данные:

• конфигурационные данные NetScaler;
• исторические и HTTP-конфигурации;
• диагностические данные;
• системные резервные копии;
• ключевой материал.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.