Хакването на достъпни през интернет, уязвими среди на Citrix NetScaler ADC и Gateway ескалира.
Това, което започна като незабележимо прицелване чрез експлойти от тип нулев ден, вече се превърна в широкоразпространена атака тип „spray and pray“, подхранена от публикуването на анализ на основната причина (root-cause) и концептуално доказателство (PoC) за експлойт за CVE-2026-88771, която е дистанционно експлоатируема на устройства без инсталирани корекции за сигурност и с конфигурация по подразбиране.
От слух до потвърден нулев ден
Слуховете за експлоатиране на zero-day уязвимост в NetScaler в реални условия започнаха в края на миналата седмица и бяха потвърдени, когато Citrix публикува бюлетин за сигурност след пускането на корекции за сигурност за осем критични и високорискови уязвимости.
Сред тях са CVE-2026-88771 и CVE-2026-88772, като и двете се експлоатират като уязвимости от тип нулев ден.
Citrix също така предостави скрипт за откриване, който клиентите могат да използват, за да проверят за доказателства за компрометиране, но призна, че той „може да не успее да идентифицира действителни пробиви“, тъй като атакуващите често променят своите тактики, техники и процедури (TTP) и инфраструктура.
Оттогава насам редица компании за киберсигурност и изследователи споделиха информация, за да помогнат за изясняване на пълната картина.
Какво наблюдават изследователите
Компанията за анализ на киберзаплахи GreyNoise, която управлява крупна мрежа за примамване и наблюдение, събираща и анализираща данни за поведението на атакуващите, съобщава, че е открила злонамерен субект, опитващ се да извърши zero-day експлоатация срещу Citrix NetScaler Gateway на 24 септември – повече от три дни преди публичното оповестяване.
„Въпреки че киберпрестъпникът не успя да се установи в целевия сензор Swarm, неговият план за действие след експлоатацията бе разкрит“, отбелязва компанията.
Атакуващият се е опитал да получи администраторски достъп, да скрие webshell (заден вход) зад фалшив адрес за стилова таблица, да заличи следите си в логовете и да рестартира сървъра.
Ксавие Белекенс, главен изпълнителен директор на компанията за примамване и анализи Lupovis, заяви пред Help Net Security, че тяхната мрежа от сензори е започнала да регистрира опити за експлоатация в реално време срещу Citrix NetScaler броени минути след като watchTowr Labs публикува PoC експлойт за CVE-2026-88771.
Заловените опити са били опортюнистични, насочени към сканиране на целия интернет за достъпни устройства без инсталирани корекции за сигурност. „Ако използвате NetScaler и все още не сте отстранили уязвимостта, приемайте, че вече сте обект на сканиране“, добави той.
Техниката, използвана от атакуващите, включва отравяне на логовете (log poisoning), а събраните данни се извличат към сървър на Hetzner (138.199.200.90).
Неговият съвет към организациите е да търсят заявки POST /nf/auth/doAuthentication.do, чието тяло съдържа pitboss PPE unexpectedly died NSPPE, както и да проследяват DNS за изходящи справки, завършващи на instances.httpworkbench.com, което показва, че хост в тяхната инфраструктура вече е засегнат.
CERT-EU също публикува технически подробности и насоки за търсене на заплахи за организациите въз основа на разследването, което започна след появата на слуховете за експлоатация.
Голям брой потенциални мишени
Censys, компанията, управляваща едноименната платформа за сканиране на интернет, съобщава, че в момента открива около 42 000 достъпни през интернет хоста, работещи с NetScaler ADC или NetScaler Gateway, макар че не може да „види“ дали те са уязвими за атака или вече са компрометирани.
„На Съединените щати се падат 13 549 хоста (32%), следвани от Германия с 5 678 (13%), а Нидерландия, Обединеното кралство и Швейцария имат по около 4% всеки“, посочва компанията.
„Microsoft хоства 4 254 (10%), а Amazon – 3 013 (7%), което съответства на виртуалните устройства NetScaler VPX, внедрени в публични облаци. Повече от три четвърти от хостовете се намират извън десетте най-големи мрежи, разпределени в корпоративното и телекомуникационното адресно пространство.“
Изследователят по киберсигурност Кевин Бомонт заяви днес, че е извършил сканиране на версиите на фърмуера и че по-малко от 10% от достъпните хостове имат инсталирани корекции за сигурност към момента.
Той също така сподели, че проследява над 100 засегнати организации и че „всяка една има уникален webshell, който не може да бъде открит дистанционно, освен ако не сте самият атакуващ“. Според него първоначалната цел на киберпрестъпниците е шпионаж.
В момента няма публично достъпен PoC за CVE-2026-88772 – другата уязвимост, експлоатирана от първоначалните атакуващи.