Злоумышленники были замечены в эксплуатации критической уязвимости инъекции команд до аутентификации в Citrix NetScaler ADC и NetScaler Gateway для установки веб-оболочек и попыток кражи конфигурационных данных.
Команда Threat Hunt Operations & Research (THOR) компании LevelBlue, которая анализировала активность эксплуатации в нескольких средах клиентов, сообщила, что идентифицировала злонамеренные события аутентификации NetScaler, содержащие имена пользователей, контролируемые атакующими, предназначенные для использования уязвимости CVE-2026-88771.
CVE-2026-88771 (оценка CVSS: 9.5) — это уязвимость неправильной проверки входных данных, которая может позволить неаутентифицированному атакующему выполнять произвольные команды.
Данный недостаток безопасности, наряду с CVE-2026-88772, был раскрыт на прошлой неделе после сообщений о том, что Нидерландский национальный центр кибербезопасности (NCSC-NL) якобы отправил предварительное уведомление организациям в Нидерландах, призывающее их отключить свои устройства, ссылаясь на активную эксплуатацию. На момент написания статьи нет информации о том, кто стоит за этими усилиями.
"Одной из самых последовательных характеристик среди идентифицированных событий были данные аутентификации, контролируемые атакующими, содержащие вариации строк pitboss и NSPPE, связанные с эксплуатацией CVE-2026-88771," — заявил LevelBlue.
Также были замечены другие попытки, использующие curl или wget для получения дополнительных полезных нагрузок с внешних серверов или извлечения конфигурационных данных NetScaler -
64.94.85[.]67:443/update_c08937.pl
31.56.197[.]72:9090/lula
31.56.197[.]72:9090/lula
23.27.143[.]20:9000/main.py
"В совокупности наблюдаемые команды демонстрируют активность, выходящую за рамки базовой проверки уязвимости," — сказал LevelBlue. "Попытки включали получение и выполнение полезных нагрузок, а также сбор и подготовку конфигурационных данных NetScaler."
Особенно примечательной среди полезных нагрузок второго этапа является Python-скрипт ("main.py"), который предназначен для установки обратной оболочки на "45.141.21[.]130" через TCP-порт 443. Он также ищет запущенные процессы, связанные с "/var/python/bin/customsnmpd", и принудительно завершает их, отправляя команду "kill -9".
Еще одна полезная нагрузка второго этапа, "update_c08937.pl", является Perl-скриптом с несколькими возможностями после эксплуатации -
Изменить "/flash/nsconfig/ns.conf", чтобы создать локальную учетную запись с именем sec_monitor и назначить ей роль суперпользователя.
Архивировать директорию "/flash/nsconfig" в "/tmp/update_result_3567cs.tgz" и загрузить полученный архив, содержащий конфигурационные данные NetScaler, на "64.94.85[.]67:443." Затем скрипт удаляет архив и стирает себя, чтобы уменьшить следы на диске.
Изменить разрешения для "/bin/sh" на 6555 и развернуть PHP-веб-оболочку по адресу "/var/netscaler/logon/LogonPoint/.local_journal" для удаленного выполнения команд и загрузки и скачивания файлов.
Изменить "/etc/httpd.conf", чтобы включить выполнение PHP и сопоставить веб-оболочку с URL, похожими на легитимные ресурсы CSS NetScaler, что подтверждает активность, наблюдаемую GreyNoise.
"Хотя некоторые попытки использовали команды, такие как whoami, для проверки выполнения команд, другие пытались получить дополнительные полезные нагрузки, собрать конфигурационные данные NetScaler, установить обратные оболочки, создать привилегированные учетные записи и развернуть веб-оболочки," — сказал LevelBlue.
Раскрытие произошло на следующий день после того, как Mandiant Consulting и Google Threat Intelligence Group (GTIG) сообщили, что десятки организаций пострадали от атак, использующих CVE-2026-88772 для доставки PHP-веб-оболочек, таких как WHIPSHOT, и Python-туннелера под названием SLAPSHOT.
Найдите эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.