Установено е, че атакуващи експлоатират критична уязвимост от тип инжектиране на команди преди автентикация (pre-authentication command injection) в Citrix NetScaler ADC и NetScaler Gateway, за да инсталират уеб шелове (web shells) и да опитат кражба на конфигурационни данни.
Екипът за разследване на заплахи и проучвания (THOR) на LevelBlue, който анализира дейността по експлоатация в множество среди на клиенти, заяви, че е идентифицирал злонамерени събития за автентикация в NetScaler, съдържащи контролирани от атакуващите потребителски имена, проектирани да използват уязвимостта CVE-2026-88771 като оръжие.
CVE-2026-88771 (CVSS оценка: 9.5) е уязвимост, свързана с неправилно валидиране на входните данни, която би могла да позволи на неавтентикиран атакуващ да изпълни произволни команди.
Пролуката в сигурността, заедно с CVE-2026-88772, беше разкрита миналата седмица след доклади, че Националният център за киберсигурност на Нидерландия (NCSC-NL) е изпратил предварително известие до организации в страната с призив да изключат своите устройства поради активна експлоатация. Към момента на писане няма подробности за това кой стои зад тези опити.
„Една от най-постоянните характеристики при идентифицираните събития бяха данните за автентикация, контролирани от атакуващия, съдържащи вариации на низовете pitboss и NSPPE, свързани с експлоатацията на CVE-2026-88771“, посочват от LevelBlue.
Забелязани са и други опити с използване на curl или wget за извличане на допълнителен зловреден код от външни сървъри или за извличане на конфигурационни данни от NetScaler -
- 64.94.85[.]67:443/update_c08937.pl
- 31.56.197[.]72:9090/lula
- 31.56.197[.]72:9090/lula
- 23.27.143[.]20:9000/main.py
„Взети заедно, наблюдаваните команди показват активност, излизаща извън рамките на базовото потвърждение на уязвимостта“, заявяват от LevelBlue. „Опитите включват извличане и изпълнение на зловреден код, както и събиране и подготовка за изпращане на конфигурационни данни от NetScaler.“
Забележителен сред зловредния код от втория етап е Python скрипт („main.py“), проектиран да установи обратна връзка (reverse shell) към „45.141.21[.]130“ през TCP порт 443. Той също така търси работещи процеси, свързани с „/var/python/bin/customsnmpd“, и ги прекратява принудително чрез издаване на команда „kill -9“.
Друг зловреден код от втория етап, „update_c08937.pl“, е Perl скрипт с няколко възможности за действие след експлоатация -
- Модифициране на „/flash/nsconfig/ns.conf“ с цел създаване на локален акаунт с име sec_monitor и присвояването му на права на пълен администратор (superuser).
- Архивиране на директорията „/flash/nsconfig“ в „/tmp/update_result_3567cs.tgz“ и качване на получения архив, съдържащ конфигурационни данни на NetScaler, към „64.94.85[.]67:443“. След това скриптът изтрива архива и премахва себе си, за да намали криминалистичния отпечатък върху диска.
- Промяна на правата за достъп на „/bin/sh“ на 6555 и внедряване на PHP web shell в „/var/netscaler/logon/LogonPoint/.local_journal“ за отдалечено изпълнение на команди и качване/сваляне на файлове.
- Модифициране на „/etc/httpd.conf“ за активиране на изпълнението на PHP и свързване на уеб шела към URL адреси, наподобяващи легитимни CSS ресурси на NetScaler, което потвърждава активността, наблюдавана от GreyNoise.
„Докато някои опити използваха команди като whoami за тестване на изпълнението на команди, други се опитваха да извлекат допълнителен зловреден код, да съберат конфигурационни данни от NetScaler, да установят обратни връзки, да създадат привилегировани акаунти и да внедрят уеб шелове“, казаха от LevelBlue.
Разкритието идва ден след като Mandiant Consulting и Google Threat Intelligence Group (GTIG) заявиха, че десетки организации са засегнати от атаки, експлоатиращи CVE-2026-88772 за доставяне на PHP уеб шелове като WHIPSHOT и Python тунелиращ инструмент, наречен SLAPSHOT.