История вокруг нулевых дней Citrix NetScaler стала гораздо яснее за последние несколько дней.
Изначально мы знали, что CVE-2026-88771 и CVE-2026-88772 эксплуатируются в дикой природе. Теперь исследования от GreyNoise, watchTowr и Mandiant дают нам лучшее понимание того, что на самом деле делают злоумышленники после того, как они получают доступ к уязвимому устройству. И здесь инцидент становится более интересным.
Дело не просто в эксплуатации уязвимости и получении оболочки. Злоумышленники использовали скомпрометированные устройства NetScaler для установления постоянного доступа, развертывания веб-оболочек и создания пути в внутреннюю сеть.
CVE-2026-88771: Путь инъекции команд
CVE-2026-88771 является более простым из двух с точки зрения злоумышленника. Анализ watchTowr показал, что ввод, контролируемый злоумышленником, может в конечном итоге достичь механизмов ведения журнала и обработки ошибок NetScaler и интерпретироваться как часть команды оболочки. Проще говоря, злоумышленник отправляет специально подготовленный запрос на открытый NetScaler. Запрос регистрируется. Эта информация затем обрабатывается уязвимым компонентом. Поскольку ввод не обрабатывается безопасно, часть данных, контролируемых злоумышленником, может быть превращена в команду. И эта команда выполняется с привилегиями уровня root на устройстве. Важный момент здесь в том, что аутентификация не требуется. Это делает NetScaler, доступный из Интернета, особенно привлекательным. Злоумышленнику не нужно сначала красть учетную запись VPN или пароль администратора, чтобы начать.
CVE-2026-88772: Другой путь к той же цели
CVE-2026-88772 идет совершенно другим путем. Эта уязвимость находится в коде обработки DTLS и связана с переполнением памяти. Злоумышленник отправляет специально подготовленный фрагментированный трафик DTLS. NetScaler собирает эти фрагменты, но уязвимый код не учитывает, сколько данных копируется в его внутренний буфер. Результатом является повреждение памяти, которое потенциально может быть превращено в выполнение кода. Причина, по которой это заслуживает особого внимания, заключается в том, что DTLS включен по умолчанию для VPN виртуальных серверов. Таким образом, для многих развертываний NetScaler Gateway необходимое условие уже присутствует.
Две уязвимости технически различны, но результат, которого ищут злоумышленники, схож: получить выполнение кода на NetScaler и взять контроль над устройством.
Что происходит после того, как злоумышленник получает доступ?
Это, вероятно, самое важное развитие из последних исследований. GreyNoise наблюдал, как злоумышленник пытался изменить /bin/sh, чтобы он мог предоставить оболочку root, а затем установить защищенную паролем веб-оболочку. Веб-оболочка была размещена по адресу: /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver. GreyNoise также идентифицировал receiver.min.css как псевдоним, связанный с веб-оболочкой. Техника, похоже, предназначена для того, чтобы сделать злонамеренную активность похожей на обычный запрос к веб-ресурсу. Это совершенно другой уровень активности, чем просто проверка, работает ли уязвимость.
Злоумышленник пытается оставаться на устройстве.
GreyNoise увидел это до того, как уязвимость стала публичной. Это еще одна интересная часть истории. GreyNoise наблюдал активность эксплуатации 24 сентября, за несколько дней до того, как уязвимости были публично раскрыты. Один IP-адрес, 149.104.78.141, был замечен, пытающимся осуществить эксплуатацию против NetScaler Gateway. В то время GreyNoise еще не имел специфического обнаружения CVE, поскольку уязвимость не была публично раскрыта. Тем не менее, его поведенческие обнаружения идентифицировали активность как злонамеренную. Как только CVE-2026-88771 стал публичным, GreyNoise смог ретроактивно связать активность с уязвимостью. Это хороший пример того, почему поведенческое обнаружение имеет значение во время нулевого дня. Вы можете не иметь сигнатуры для уязвимости, которую никто еще не назвал публично, но вы все равно можете обнаружить поведение вокруг эксплуатации.
Mandiant обнаружил, что активность идет дальше.
Расследование Mandiant добавляет еще один уровень к истории. Исследователи идентифицировали два ранее не задокументированных вредоносных ПО, связанных с атаками: WHIPSHOT и SLAPSHOT. WHIPSHOT — это веб-оболочка на основе PHP, которая предоставляет постоянный доступ к скомпрометированному устройству. SLAPSHOT — это инструмент туннелирования на основе Python. Вместе они предоставляют злоумышленнику нечто гораздо более ценное, чем доступ к самому NetScaler. Они предоставляют способ перемещения от пограничного устройства к внутренней среде. Mandiant наблюдал активность, связанную с внутренней разведкой, кражей учетных данных и боковым перемещением. Атаки затронули организации в различных секторах, включая государственные органы, финансы и профессиональные услуги.
Таким образом, цепочка атаки начинает выглядеть так:
NetScaler, доступный из Интернета ↓ Эксплуатация нулевого дня ↓ Доступ уровня root ↓ Постоянство / веб-оболочка ↓ Туннелирование ↓ Внутренняя разведка ↓ Доступ к учетным данным и боковое перемещение
Это то, о чем командам безопасности следует думать сейчас.
Картина IOC также улучшается.
Теперь у нас есть некоторые конкретные индикаторы из исследований. GreyNoise сообщил:
149.104.78.141 — источник эксплуатации, наблюдаемый /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver — идентифицированный путь веб-оболочки receiver.min.css — связанный псевдоним веб-оболочки Хэш SHA-256 для идентифицированной веб-оболочки
Эти данные следует рассматривать как известные наблюдения исследований, а не как исчерпывающий список IOC. Сам GreyNoise отмечает, что наблюдаемая активность представляет собой лишь то, что увидели его сенсоры.
Это различие имеет значение. Организация, которая не видит этих точных индикаторов, не должна автоматически заключать, что ее NetScaler чист.
Что я считаю наиболее важным здесь
Технические детали двух уязвимостей интересны, но более важная история заключается в том, что произошло после эксплуатации. NetScaler находится на границе.