Неизвестни атакуващи са забелязани да се възползват от наскоро коригирана уязвимост в сигурността на устройства Citrix NetScaler ADC и NetScaler Gateway, насочвайки се към организации в Северна Америка и Европа.

Дейността, наблюдавана от Mandiant Consulting и Google Threat Intelligence Group (GTIG) през септември 2026 г., е засегнала секторите на държавното управление, финансовите услуги, технологиите, образованието, както и юридическите и професионалните услуги.

„Експлоатацията на CVE-2026-88772 заобикаля автентикацията и предизвиква необработено прекратяване на NetScaler Packet Processing Engine (NSPPE) с цел установяване на първоначален достъп на ниво root“, съобщават от технологичния гигант.

Забелязано е, че атаките използват уязвимостта като оръжие за внедряване на инструментариум за последваща експлоатация, който включва недокладвани досега PHP уеб шелове, като WHIPSHOT, способни да маскират Base64-кодирани зловредни кодове за командване и контрол (C2) в рамките на стандартни HTTP заглавни части.

Използва се и нов съпътстващ Python тунелиращ инструмент, наречен SLAPSHOT, предназначен да проксира трафика към вътрешни мрежи с цел разузнаване и кражба на идентификационни данни. В поне един случай, наблюдаван от Google, се посочва, че злонамереният субект е пренасочвал трафик през това прокси, за да извършва ръчно вътрешно разузнаване и кражба на пароли.

Както е описано подробно от watchTowr Labs, CVE-2026-88772 (оценка по CVSS: 9.5) е грешка от тип препълване на паметта при обработката на протокола Datagram Transport Layer Security (DTLS) в компонента NSPPE.

„По време на първоначалното криптографско ръкостискане преди автентикация, NSPPE анализира входящите структури от DTLS записи“, заявяват от Google. „Анализът на телеметрията от първа линия показва, че предаването на специално деформирани или фрагментирани заглавни части на записите предизвиква нарушаване на границите на динамичната памет (heap memory) в пакета от данни, пренасочвайки изпълнението на кода към стартиране на произволен shellcode с root привилегии в операционната система на базисната платформа FreeBSD.“

След успешна експлоатация, инжектираният зловреден код под формата на уеб шел се самоинсталира чрез модифициране на целевите файлове httpd.conf, за да обработва файлове във формат за софтуерни пакети на Debian (.deb) като PHP скриптове, проправяйки пътя за внедряване на WHIPSHOT и SLAPSHOT. Това се постига чрез първоначалния инсталатор.

Тази промяна в конфигурацията е направила възможно за противника да позиционира уеб шелове с подвеждащи файлови разширения в „/netscaler/gui/vpn/scripts/linux“, допълват от подразделението за киберсигурност на Google.

В други случаи е наблюдавано злонамереният субект да внедрява скрита конфигурационна кука (hook), която маскира изпълнението на уеб шел като заявки за изображения и регистрира файлове със разширение за подпис (.sig) като изпълними PHP скриптове след активиране на модула mod_php.

Конфигурацията също така съпоставя входящите HTTP заявки, завършващи на „.ico“ в „/vpn/media/“, директно със съответния файл „.sig“ със същото базово име в „/var/netscaler/gui/vpn/scripts/linux/“.

„Например клиенти, осъществяващи достъп до /vpn/media/e6ee7c85.ico, биха били обслужвани от поставения PHP уеб шел e6ee7c85.sig“, казват от Google. „В поне един случай логовете за достъп до уеб сървъра показват GET заявки, връщащи HTTP 404 отговори, но проявяващи увеличена продължителност на обработка и размери на отговора от няколко килобайта.“

„През следващите дни атакуващият е се опитал да осъществи достъп до несъществуващи .sig файлове, което е генерирало грешки за липсващ файл в httperror-vpn логовете, намеквайки, че файловете не са били там. Това може да е индикация, че атакуващите управляват подобни уеб шелове в множество компрометирани среди.“

Веригата на атаката след това преминава към установяване на персистентно изпълнение на ниво root за нейните уеб шелове чрез използване на инсталационните уеб шелове за промяна на правата за достъп до „/bin/sh“, след което се инициира пълно рестартиране на NetScaler устройството.

Олекотените PHP уеб шелове, маскирани като .deb и .sig файлове, предлагат директно изпълнение на команди и автоматизирана персистентност в устройството. Един такъв уеб шел е WHIPSHOT, който извлича Base64-кодирани команди и злонамерени кодове от HTTP заглавни части, изпълнява ги и връща резултатите.

SLAPSHOT, инструмент за TCP тунелиране, написан на Python, функционира като вътрешен мрежов мост, който приема команди от WHIPSHOT и препраща произволни TCP потоци към вътрешни хостове с цел улесняване на вътрешното разузнаване, хоризонталното придвижване (lateral movement) и събирането на идентификационни данни.

Ако в рамките на 10 минути не бъдат получени активни сесии или команди, зловредният софтуер премахва своите портове и заключващи файлове и прекратява своя процес, за да заличи следите си и да минимизира форензичните доказателства.

„Тази кампания подчертава продължаващото таргетиране на периферни устройства с цел получаване на първоначален достъп до мрежите на жертвите“, заявяват от Google. „Тези устройства — включително контролери за предоставяне на приложения (ADC), VPN портали и защитни стени — остават привлекателни цели, тъй като са изложени в интернет, намират се извън обсега на инструментите за откриване и реагиране на крайни точки (EDR) и често съхраняват или обработват идентификационни данни, които могат да се използват за по-дълбоко навлизане в мрежата.“

Развитието идва в момент, когато от GreyNoise съобщиха, че са започнали да наблюдават допълнителна злонамерена кибердейност, свързана с експлоатацията на CVE-2026-88771 и CVE-2026-88772, започнала на 28 септември 2026 г. около 8:30 ч. EDT, последвана от значителен скок същия ден около 22:30 ч. EDT.

„Това, което вчера започна като масово разузнаване, сега се превърна в пълномащабна масова експлоатация от страна на множество независими субекти и кампании“, заявяват от екипа на GreyNoise пред The Hacker News. „Наблюдаваме широкомащабно внедряване на уеб шелове и зловреден софтуер с основни цели рекрутиране на ботнети и посредничество при продажба на достъп.“