Злоумышленники эксплуатируют две уязвимости Citrix NetScaler

Примерно 24 сентября 2026 года началась кампания против доступных из интернета устройств Citrix NetScaler ADC и Gateway. Злоумышленники эксплуатировали две уязвимости, для которых не требовалась аутентификация: CVE-2026-88771 и CVE-2026-88772.

Эксплуатация уязвимостей и индикаторы компрометации

CVE-2026-88771 связана с некорректной проверкой входных данных, которая позволяет внедрять команды. Злоумышленники разделяли команды между данными аутентификации и метаданными HTTP-запроса. Полезные нагрузки помещали в заголовок HTTP User-Agent в виде строки Base64 с префиксом INDEX:. Внедрённые команды извлекали и декодировали содержимое, а затем передавали его в оболочку через конвейер.

CVE-2026-88772 представляет собой переполнение памяти в протоколе DTLS. Для эксплуатации требовалось, чтобы DTLS был включён. По имеющимся данным, по умолчанию этот протокол активирован для виртуальных серверов VPN. Злоумышленники отправляли фрагментированные записи DTLS. Компонент NSPPE копировал около 174 КБ данных в буфер размером 35 840 байт, что приводило к повреждению памяти и сбою системы.

Среди обнаруженных индикаторов компрометации были:

• строки, связанные с аварийным завершением работы pitboss;
• обфускация с помощью ${IFS} и функция b64decode;
• вредоносные пути веб-шеллов .ctxs.receiver;
• URL полезной нагрузки nsgclient18.deb и doAuthentication.do.

Успешная эксплуатация могла привести к развёртыванию веб-шелла, выполнению команд и исходящей активности по сбору данных (staging).

Инструмент Platypus и инфраструктура

На одном из скомпрометированных устройств атакующий развернул модифицированную ветку инструмента удалённого администрирования Platypus с открытым исходным кодом. Имплант скомпилировали для FreeBSD, упаковали в файл с расширением .pl и именем, имитирующим Perl-скрипт, а затем доставили с помощью начального скрипта curl | sh.

Возможности импланта включали:

• регистрацию по взаимному TLS и интерактивное выполнение команд через псевдотерминал (PTY);
• операции с файлами и плагины WebAssembly;
• взаимодействие агентов на основе mDNS;
• самообновляющееся закрепление и повышение привилегий;
• подделку временных меток и самоуничтожение.

В приватную ветку добавили наступательные модули rootesc и selfpersist. Они включали злоупотребление sudo и GTFOBins, повышение привилегий через SUID и сервисы, закрепление с помощью сторожевого механизма (watchdog), маскировку, очистку следов и противодействие форензике. Исследователи также выявили сборку для Windows, созданную из того же исходного дерева.

Инфраструктура подготовки атаки и управления использовала домен entretiensol[.]com и связанные с ним домены, размещённые на IP-адресе, ранее связанном с C2 Havoc. Расследователи обнаружили признаки повторного использования сертификатов, применения доменов с длительной историей регистрации и использования отдельных токенов регистрации для каждого устройства.

Данные для выявления активности

Возможности выявления включают анализ:

• журналов обоих узлов высокой доступности (HA), аутентификации NetScaler, HTTP, оболочки, аудита, целостности и аварийных сбоев;
• журналов исходящих соединений;
• наличия подозрительных ELF-файлов с расширением .pl, скрытых каталогов агента и файла agent.lock;
• несанкционированных записей в cron и активности типа curl-to-shell;
• трафика ячеистой сети Platypus и неожиданных исходящих соединений.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.