Sulmi Citrix NetScaler krijon superpërdorues dhe maskon web shell

Sulmuesit po shfrytëzojnë në mënyrë aktive një dobësi kritike të Citrix NetScaler për të vendosur web shells dhe për të krijuar llogari administratori të fshehura, sipas analizave të reja nga ekipi Threat Hunt Operations & Research (THOR) i LevelBlue. Aktiviteti synon pajisjet Citrix NetScaler ADC dhe NetScaler Gateway, pajisje që përdoren zakonisht për të balancuar trafikun e faqeve të internetit dhe për të siguruar qasje të sigurt në distancë. Dobësia, e identifikuar si CVE-2026-88771, është një problem i injektimit të komandave para-autentikimit që lejon një sulmues të paautentikuar të ekzekutojë komanda arbitrare në një pajisje të prekur para çdo hyrjeje, duke i dhënë asaj një rezultat të ashpërsisë CVSS prej 9.5.

Defekti është një problem i validimit të gabuar të hyrjeve dhe u zbulua javën e kaluar së bashku me një dobësi tjetër të Citrix, CVE-2026-88772. Raportet tregojnë se Qendra Kombëtare e Sigurisë Kibernetike e Holandës (NCSC-NL) u dërgoi një njoftim paraprak organizatave në Holandë duke i nxitur ato të mbyllin pajisjet e tyre për shkak të shfrytëzimit aktiv. LevelBlue nuk ia atribuon sulmet ndonjë grupi specifik dhe asnjë detaj se kush qëndron pas fushatës nuk është aktualisht publik.

Ekipi THOR i LevelBlue vëzhgoi ngjarje me qëllim të keq të autentikimit në NetScaler në mjedise të shumta klientësh. Një tipar i qëndrueshëm ishin emrat e përdoruesve të kontrolluar nga sulmuesit që përmbanin variacione të vargjeve pitboss dhe NSPPE, të cilat studiuesit i lidhin me shfrytëzimin e CVE-2026-88771. Në disa përpjekje, sulmuesit përdorën mjete standarde të linjës së komandës si curl ose wget për të shkarkuar ngarkesa shtesë nga serverë të jashtëm, duke përfshirë 64.94.85[.]67 në portin 443, 31.56.197[.]72 në portin 9090 dhe 23.27.143[.]20 në portin 9000. Skedarët e shkarkuar u emëruan përkatësisht update_c08937.pl, lula dhe main.py. LevelBlue tha se kjo tregon se aktiviteti shkon përtej thjesht kontrollit nëse një pajisje është e cenueshme; sulmuesit morën dhe ekzekutuan në mënyrë aktive ngarkesa dhe mblodhën të dhëna të konfigurimit të NetScaler.

Ngarkesat e fazës së dytë zbulojnë qëllimet e sulmuesve. Një skript Python, main.py, hap një reverse shell në adresën IP 45.141.21[.]130 mbi portin TCP 443, duke i dhënë sulmuesit një linjë komande në distancë në pajisje. Ai gjithashtu kërkon procese të lidhura me /var/python/bin/customsnmpd dhe i përfundon ato me forcë me komandën kill -9. Një ngarkesë tjetër, një skript Perl i quajtur update_c08937.pl, është më shkatërruese. Ai modifikon skedarin e konfigurimit të NetScaler /flash/nsconfig/ns.conf për të krijuar një llogari lokale me emrin sec_monitor dhe i jep asaj llogarie rolin e superpërdoruesit. Më pas skripti arkivon direktorinë /flash/nsconfig në /tmp/update_result_3567cs.tgz dhe ngarkon arkivin, i cili përmban të dhëna sensitive të konfigurimit, në 64.94.85[.]67 mbi portin 443. Pas ngarkimit, skripti fshin arkivin dhe fshihet vetë për të lënë më pak gjurmë mjekoligjore. Ai gjithashtu ndryshon lejet e /bin/sh në 6555 dhe vendos një web shell PHP në /var/netscaler/logon/LogonPoint/.local_journal, duke lejuar ekzekutimin e komandave në distancë dhe ngarkimin dhe shkarkimin e skedarëve. Për të fshehur web shell-in, skripti redakton /etc/httpd.conf për të aktivizuar ekzekutimin e PHP dhe e lidh shell-in me URL që duken si skedarë normalë të burimeve CSS të NetScaler. GreyNoise ka vëzhguar veçmas aktivitet që përputhet me këtë teknikë kamuflimi.

LevelBlue vuri në dukje se ndërsa disa sulmues përdorën komanda të thjeshta si whoami për të konfirmuar se mund të ekzekutonin kod, të tjerë kaluan shpejt në marrjen e ngarkesave, vjedhjen e të dhënave të konfigurimit, vendosjen e reverse shells, krijimin e llogarive të privilegjuara dhe vendosjen e web shells. Zbulimi vjen një ditë pasi Mandiant Consulting dhe Google Threat Intelligence Group raportuan se dhjetëra organizata në mbarë botën janë prekur nga sulme që shfrytëzojnë CVE-2026-88772 për të shpërndarë web shells PHP si WHIPSHOT dhe një tunelues Python të quajtur SLAPSHOT.

Për çdo organizatë që përdor NetScaler ADC ose NetScaler Gateway, fokusi i menjëhershëm duhet të jetë konfirmimi se janë instaluar përditësimet më të fundit të sigurisë të Citrix dhe rishikimi i regjistrave të pajisjeve për treguesit e përshkruar më sipër. AEU-I ofron shërbime IT, infrastrukture dhe konsulence me prioritet sigurinë që mund të ndihmojnë ekipet të vlerësojnë dhe mirëmbajnë sisteme të tilla të ekspozuara në internet. Duke pasur parasysh shfrytëzimin aktiv, vonimi i korrigjimeve ose lënia e ndërfaqeve të menaxhimit të ekspozuara në internet është një rrezik serioz.