Злоумышленники эксплуатируют уязвимость внедрения команд в NetScaler
Уязвимость CVE-2026-88771 позволяет без аутентификации внедрять команды в Citrix NetScaler. Специально сформированный запрос записывает команду в файл журнала, а плановое задание обслуживания системы управления и аналитики NetScaler выполняет её при обработке этой записи. Выполнение может произойти с задержкой до 24 часов. Злоумышленники могут ускорить его, вызвав сбой соответствующего процесса некорректными запросами DTLS с использованием CVE-2026-88772 или эксплуатацией уязвимости отказа в обслуживании SAML CVE-2026-88779. В обоих случаях происходит «тёплый» перезапуск, при котором обрабатывается последняя отравленная запись журнала.
От проверки уязвимости до постэксплуатации
Наблюдаемая активность варьировалась от базовой проверки уязвимостей до полноценного постэксплуатационного этапа. Около 85 % попыток включали команды, подобные curl, для вызова внеполосных DNS- или HTTP-колбэков. Другие полезные нагрузки запускали команды id и whoami, сохраняли вывод в доступные через веб каталоги, вычисляли выражения или возвращали результаты через запрос.
Более продвинутые действия включали развёртывание имплантов Sliver C2. Для загрузки и запуска бинарных файлов из /var/vpn/ns_helper использовалась утилита fetch в FreeBSD; колбэки выполнялись через порты 80 или 443. Атакующие также изучали файлы /etc/passwd и .ctxs.receiver, известное расположение вебшелла. Предположительно, они искали учётные данные или пароли, связанные с ранее задокументированными имплантами.
Механизмы закрепления и вебшеллы
Среди дополнительных механизмов закрепления обнаружили троянизированный статически скомпилированный бинарный файл Dropbear SSH. Он принимал пароль support1 для любой учётной записи, а также закреплённый в коде ключ RSA-2048, и прослушивал TCP-порт 37512. Доступность бинарного файла зависела от конфигурации SSH на устройстве.
Perl-стейджер update_c08937.pl развернул защищённый паролем PHP-вебшелл, функциональность для кражи конфигурационных данных и постоянную административную учётную запись. Вебшелл записывался в файл .local_journal в каталоге /var/netscaler/logon/LogonPoint/ и позволял выполнять команды, загружать и скачивать файлы. Злоумышленники изменили конфигурацию HTTP, чтобы направлять выбранные пути, похожие на CSS, на вебшелл. По умолчанию NetScaler обрабатывает запросы к /logon/* с удалением сессионных cookie, что может препятствовать аутентификации.
В ходе других кампаний злоумышленники размещали вебшеллы и маркерные файлы во множестве каталогов, добавляли SSH-ключи в authorized_keys и искали закрытые ключи, учётные данные облачных сервисов и Git, API-токены, секреты SMTP и переменные окружения, связанные с LLM. Собранные данные выгружались в исходящих HTTP POST-запросах с tar-архивами.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
