Было зафиксировано, что злоумышленники используют критическую уязвимость, позволяющую внедрить команду до этапа аутентификации, в устройствах Citrix NetScaler ADC и NetScaler Gateway с целью установки веб-шеллов и попыток кражи данных конфигурации.
Команда Threat Hunt Operations & Research (THOR) компании LevelBlue, проанализировавшая активность злоумышленников в средах нескольких клиентов, сообщила, что обнаружила вредоносные события аутентификации в NetScaler, содержащие контролируемые злоумышленниками имена пользователей, предназначенные для использования уязвимости CVE-2026-88771 в злонамеренных целях.
CVE-2026-88771 (оценка CVSS: 9,5) представляет собой уязвимость, связанную с некорректной проверкой вводимых данных, которая может позволить неавторизованному злоумышленнику выполнять произвольные команды.
Эта уязвимость, наряду с CVE-2026-88772, была раскрыта на прошлой неделе после появления сообщений о том, что Национальный центр кибербезопасности Нидерландов (NCSC-NL), как сообщается, направил предварительное уведомление организациям в Нидерландах, призывая их отключить свои устройства в связи с активным злоупотреблением этой уязвимостью. На момент написания статьи подробностей о том, кто стоит за этими действиями, нет.
«Одной из наиболее характерных черт всех выявленных инцидентов были контролируемые злоумышленниками данные аутентификации, содержащие вариации строк pitboss и NSPPE, связанные с эксплуатацией уязвимости CVE-2026-88771», — сообщила компания LevelBlue.
Также были зафиксированы попытки с использованием утилит curl или wget для загрузки дополнительных полезных нагрузок с внешних серверов или извлечения данных конфигурации NetScaler —
- 64.94.85[.]67:443/update_c08937.pl
- 31.56.197[.]72:9090/lula
- 31.56.197[.]72:9090/lula
- 23.27.143[.]20:9000/main.py
«В совокупности наблюдаемые команды свидетельствуют о деятельности, выходящей за рамки простой проверки уязвимостей», — отмечает LevelBlue. «Попытки включали извлечение и выполнение полезной нагрузки, а также сбор и подготовку данных конфигурации NetScaler».
Среди полезных нагрузок второго этапа особое внимание привлекает скрипт на Python («main.py»), предназначенный для установления обратной оболочки с адресом «45.141.21[.]130» через TCP-порт 443. Он также ищет запущенные процессы, связанные с «/var/python/bin/customsnmpd», и принудительно завершает их, выдавая команду «kill -9».
Еще один полезный груз второго этапа, «update_c08937.pl», представляет собой скрипт на языке Perl с несколькими возможностями для действий после проникновения —
- изменение файла «/flash/nsconfig/ns.conf» для создания локальной учетной записи с именем sec_monitor и присвоения ей прав суперпользователя;
- Архивирует каталог «/flash/nsconfig» в файл «/tmp/update_result_3567cs.tgz» и загружает полученный архив, содержащий данные конфигурации NetScaler, на адрес «64.94.85[.]67:443». Затем скрипт удаляет архив и сам себя, чтобы уменьшить следы на диске при криминалистической экспертизе.
- Измените права доступа к файлу «/bin/sh» на 6555 и разверните веб-оболочку PHP по адресу «/var/netscaler/logon/LogonPoint/.local_journal» для удалённого выполнения команд, а также загрузки и скачивания файлов.
- Измените файл «/etc/httpd.conf», чтобы разрешить выполнение PHP, и сопоставьте веб-оболочку с URL-адресами, напоминающими легитимные CSS-ресурсы NetScaler, что подтверждает активность, наблюдаемую GreyNoise.
«В то время как в некоторых попытках использовались такие команды, как whoami, для проверки возможности выполнения команд, в других предпринимались попытки загрузить дополнительные полезные нагрузки, собрать данные конфигурации NetScaler, установить обратные шеллы, создать учетные записи с привилегиями и развернуть веб-шеллы», — сообщила компания LevelBlue.
Эта информация появилась на следующий день после того, как компании Mandiant Consulting и Google Threat Intelligence Group (GTIG) сообщили, что десятки организаций пострадали от атак, в которых использовалась уязвимость CVE-2026-88772 для доставки веб-оболочек на PHP, таких как WHIPSHOT, и туннелера на Python под названием SLAPSHOT.