未知的威胁行为者被观察到利用 Citrix NetScaler ADC 和 NetScaler Gateway 设备中一个新修补的安全漏洞，针对北美和欧洲的组织进行攻击。
Mandiant Consulting 和 Google 威胁情报组 (GTIG) 在 2026 年 9 月观察到的活动，针对政府、金融服务、技术、教育以及法律和专业服务行业。
“利用 CVE-2026-88772 绕过身份验证，并触发 NetScaler 数据包处理引擎 (NSPPE) 的未处理终止，以建立初始根级访问权限，”这家科技巨头表示。
观察到攻击者利用该漏洞部署一个后期利用工具包，其中包括以前未报告的 PHP Web Shell，例如 WHIPSHOT，能够在本地 HTTP 头中伪装 Base64 编码的命令与控制 (C2) 有效负载。
还使用了一种名为 SLAPSHOT 的新型 Python 隧道工具，旨在将流量代理到内部网络进行侦察和凭证盗窃。在 Google 观察到的至少一个案例中，威胁行为者通过该代理转发流量，以手动进行内部侦察和凭证盗窃。
根据 watchTowr Labs 的详细信息，CVE-2026-88772（CVSS 分数：9.5）是 NSPPE 组件中数据报传输层安全 (DTLS) 协议处理中的内存溢出漏洞。
“在初始的预身份验证加密握手期间，NSPPE 解析传入的 DTLS 记录结构，”Google 表示。“前线遥测的分析表明，传输特殊格式错误或分片的记录头会导致数据包引擎中的堆内存边界损坏，转移控制流以在底层 FreeBSD 平台上以根级操作系统权限执行任意 shellcode。”
在成功利用后，Web Shell 有效负载通过修改目标 httpd.conf 文件自我安装，以将 Debian 软件包格式 (.deb) 文件处理为 PHP 脚本，为 WHIPSHOT 和 SLAPSHOT 的部署铺平道路。这是通过初始安装程序实现的。
这种配置更改使对手能够在 "/netscaler/gui/vpn/scripts/linux" 中设置具有欺骗性文件类型扩展的 Web Shell，Google 的网络安全部门补充道。
在其他情况下，观察到威胁行为者实施了一种隐蔽的配置钩子，将 Web Shell 执行伪装为图像请求，并在启用 mod_php 引擎后将签名 (.sig) 文件注册为可执行的 PHP 脚本。
该配置还将以 ".ico" 结尾的传入 HTTP 请求直接映射到 "/var/netscaler/gui/vpn/scripts/linux/" 中具有相同基本名称的相应 ".sig" 文件。
“例如，访问 /vpn/media/e6ee7c85.ico 的客户端将由丢弃的 PHP Web Shell e6ee7c85.sig 提供服务，”Google 表示。“在至少一个案例中，Web 服务器访问日志显示 GET 请求返回 HTTP 404 响应，但处理时间延长且响应大小达到多千字节。”
“在接下来的几天里，攻击者尝试访问不存在的 .sig 文件，这在 httperror-vpn 日志中生成了缺失文件错误，暗示这些文件并不存在。这可能表明攻击者在多个被攻陷的环境中管理类似的 Web Shell。”
攻击链随后进展到通过利用安装程序 Web Shell 来建立其 Web Shell 的持久根级执行，改变 "/bin/sh" 的权限，然后启动完整的 NetScaler 设备重启。
这些伪装成 .deb 和 .sig 文件的轻量级 PHP Web Shell 提供直接命令执行和自动设备持久性。其中一个 Web Shell 是 WHIPSHOT，它从 HTTP 头中提取 Base64 编码的命令和有效负载，执行它们并返回结果。
SLAPSHOT 是一个用 Python 编写的 TCP 隧道工具，作为内部网络桥接，接受来自 WHIPSHOT 的命令，并将任意 TCP 流转发到内部主机，旨在促进内部侦察、横向移动和凭证收集。
如果在 10 分钟内未收到活动会话或命令，恶意软件将删除其端口和锁文件，并终止其进程以掩盖踪迹并最小化取证痕迹。
“这场活动强调了持续针对边缘设备以获得受害者网络初始访问权限的趋势，”Google 表示。“这些设备——包括应用交付控制器、VPN 网关和防火墙——仍然是有吸引力的目标，因为它们暴露在互联网上，超出了终端检测和响应 (EDR) 工具的范围，并且通常存储或处理可以用于更深入进入网络的凭证。”
随着 GreyNoise 表示它开始看到与 CVE-2026-88771 和 CVE-2026-88772 的利用相关的额外恶意网络活动，自 2026 年 9 月 28 日上午 8:30 EDT 开始，随后在同一天晚上 10:30 EDT 出现显著激增。
“昨天开始的大规模侦察现在已经演变为多个独立行为者和活动之间的全面大规模利用，”GreyNoise 团队告诉 The Hacker News。“我们观察到大规模的 Web Shell 和恶意软件部署，主要目的是进行僵尸网络招募和访问中介。”
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。