Неизвестные злоумышленники были замечены, использующими недавно исправленную уязвимость безопасности в устройствах Citrix NetScaler ADC и NetScaler Gateway для атаки на организации в Северной Америке и Европе.
Деятельность, зафиксированная компанией Mandiant Consulting и группой Google Threat Intelligence Group (GTIG) в сентябре 2026 года, нацелена на государственные, финансовые, технологические, образовательные и юридические сектора.
"Эксплуатация CVE-2026-88772 обходит аутентификацию и вызывает необработанное завершение работы NetScaler Packet Processing Engine (NSPPE) для установления первоначального доступа на уровне root," — заявила технологическая компания.
Атаки были замечены, использующими уязвимость для развертывания набора инструментов после эксплуатации, который включает ранее не сообщенные PHP веб-оболочки, такие как WHIPSHOT, способные маскировать закодированные в Base64 полезные нагрузки командного управления (C2) в родных HTTP заголовках.
Также используется новый сопутствующий Python туннель под названием SLAPSHOT, предназначенный для проксирования трафика в внутренние сети для разведки и кражи учетных данных. В как минимум одном случае, зафиксированном Google, злоумышленник, как сообщается, передавал трафик через этот прокси для ручного проведения внутренней разведки и кражи учетных данных.
Как подробно описано в watchTowr Labs, CVE-2026-88772 (оценка CVSS: 9.5) является ошибкой переполнения памяти в обработке протокола Datagram Transport Layer Security (DTLS) в компоненте NSPPE.
"Во время первоначального криптографического рукопожатия до аутентификации NSPPE анализирует входящие структуры записей DTLS," — сказал Google. "Анализ передовой телеметрии предполагает, что передача специально искаженных или фрагментированных заголовков записей вызывает повреждение границ памяти кучи внутри пакетного движка, отклоняя поток управления для выполнения произвольного shell-кода с привилегиями операционной системы на уровне root на базовой платформе FreeBSD."
После успешной эксплуатации полезная нагрузка веб-оболочки устанавливается самостоятельно, изменяя целевые файлы httpd.conf для обработки файлов формата программного пакета Debian (.deb) как PHP скриптов, что открывает путь для развертывания WHIPSHOT и SLAPSHOT. Это достигается с помощью первоначального установщика.
Это изменение конфигурации позволило противнику развернуть веб-оболочки с обманчивыми расширениями файлов в "/netscaler/gui/vpn/scripts/linux," добавила кибербезопасная дивизия Google.
В других случаях злоумышленник был замечен, внедряющим скрытый конфигурационный хук, который маскирует выполнение веб-оболочек как запросы на изображения и регистрирует файлы подписи (.sig) как исполняемые PHP скрипты после включения движка mod_php.
Конфигурация также сопоставляет входящие HTTP запросы, заканчивающиеся на ".ico" под "/vpn/media/" непосредственно с соответствующим файлом ".sig" с тем же базовым именем внутри "/var/netscaler/gui/vpn/scripts/linux/."
"Например, клиенты, обращающиеся к /vpn/media/e6ee7c85.ico, будут обслуживаться сброшенной PHP веб-оболочкой e6ee7c85.sig," — сказал Google. "В как минимум одном случае журналы доступа веб-сервера показали GET запросы, возвращающие HTTP 404 ответы, но демонстрирующие увеличенные времена обработки и многокилобайтные размеры ответов."
"В последующие дни злоумышленник пытался получить доступ к несуществующим файлам .sig, что вызвало ошибки отсутствия файлов в журналах httperror-vpn, подразумевающие, что файлы отсутствуют. Это может быть признаком того, что злоумышленники управляют аналогичными веб-оболочками в нескольких скомпрометированных средах."
Цепочка атак затем продолжается установлением постоянного выполнения на уровне root для своих веб-оболочек, используя установщики веб-оболочек для изменения прав доступа к "/bin/sh," а затем инициирует полную перезагрузку устройства NetScaler.
Легкие PHP веб-оболочки, которые маскируются под файлы .deb и .sig, предлагают прямое выполнение команд и автоматизированную постоянность устройства. Одной из таких веб-оболочек является WHIPSHOT, которая извлекает закодированные в Base64 команды и полезные нагрузки из HTTP заголовков, выполняет их и возвращает результаты.
SLAPSHOT, инструмент TCP туннелирования, написанный на Python, функционирует как внутренний сетевой мост, который принимает команды от WHIPSHOT и пересылает произвольные TCP потоки на внутренние хосты с целью облегчения внутренней разведки, бокового перемещения и сбора учетных данных.
Если в течение 10 минут не получены активные сессии или команды, вредоносное ПО удаляет свои файлы порта и блокировки и завершает свой процесс, чтобы скрыть свои следы и минимизировать судебные улики.
"Эта кампания подчеркивает продолжающееся нацеливание на крайние устройства для получения первоначального доступа к сетям жертв," — сказал Google. "Эти устройства — включая контроллеры доставки приложений, VPN шлюзы и брандмауэры — остаются привлекательными целями, поскольку они открыты для интернета, находятся вне досягаемости инструментов обнаружения и реагирования на конечные точки (EDR) и часто хранят или обрабатывают учетные данные, которые могут быть использованы для более глубокого проникновения в сеть."
Развитие событий произошло, когда GreyNoise сообщила, что начала наблюдать дополнительную злонамеренную киберактивность, связанную с эксплуатацией CVE-2026-88771 и CVE-2026-88772, начиная с 28 сентября 2026 года, около 8:30 по восточному времени, за которой последовал значительный всплеск в тот же день около 10:30 по восточному времени.
"То, что началось как массовая разведка вчера, теперь эволюционировало в полную массовую эксплуатацию среди множества независимых актеров и кампаний," — сказала команда GreyNoise изданию The Hacker News. "Мы наблюдаем широкомасштабное развертывание веб-оболочек и вредоносного ПО с основной целью набора ботнетов и брокерства доступа."
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.