威胁行为者被观察到利用 Citrix NetScaler ADC 和 NetScaler Gateway 中的一个关键预身份验证命令注入漏洞，投放 Web Shell 并试图窃取配置数据。
LevelBlue 的威胁猎杀操作与研究（THOR）团队分析了多个客户环境中的利用活动，表示他们识别出了包含攻击者控制的用户名的恶意 NetScaler 身份验证事件，这些用户名旨在利用 CVE-2026-88771。
CVE-2026-88771（CVSS 分数：9.5）是一个不当输入验证漏洞，可能允许未经身份验证的攻击者执行任意命令。
该安全缺陷以及 CVE-2026-88772 上周被披露，此前荷兰国家网络安全中心（NCSC-NL）报告称已向荷兰的组织发送了预通知，敦促组织关闭其设备，理由是存在活跃的利用情况。截至撰写时，目前尚无关于这些努力背后是谁的详细信息。
“在识别的事件中，最一致的特征之一是攻击者控制的身份验证数据，包含与 CVE-2026-88771 的利用相关的 pitboss 和 NSPPE 字符串的变体，”LevelBlue 说。
还观察到其他尝试使用 curl 或 wget 从外部服务器获取额外有效载荷，或提取 NetScaler 配置数据 -
64.94.85[.]67:443/update_c08937.pl
31.56.197[.]72:9090/lula
31.56.197[.]72:9090/lula
23.27.143[.]20:9000/main.py
“综合来看，观察到的命令展示了超出基本漏洞验证的活动，”LevelBlue 说。“这些尝试包括有效载荷的检索和执行，以及 NetScaler 配置数据的收集和暂存。”
第二阶段有效载荷中值得注意的是一个 Python 脚本（“main.py”），旨在通过 TCP 443 端口与“45.141.21[.]130”建立反向 Shell。它还搜索与“/var/python/bin/customsnmpd”相关的运行进程，并通过发出“kill -9”命令强制终止它们。
另一个第二阶段有效载荷“update_c08937.pl”是一个具有多种后期利用能力的 Perl 脚本 -
修改“/flash/nsconfig/ns.conf”以创建一个名为 sec_monitor 的本地帐户并赋予其超级用户角色。
将“/flash/nsconfig”目录归档到“/tmp/update_result_3567cs.tgz”并将包含 NetScaler 配置数据的归档上传到“64.94.85[.]67:443”。然后，该脚本删除归档并自我清除，以减少磁盘上的取证足迹。
将“/bin/sh”的权限更改为 6555，并在“/var/netscaler/logon/LogonPoint/.local_journal”部署一个 PHP Web Shell 以进行远程命令执行和文件上传下载。
修改“/etc/httpd.conf”以启用 PHP 执行，并将 Web Shell 映射到类似合法 NetScaler CSS 资源的 URL，证实了 GreyNoise 观察到的活动。
“虽然一些尝试使用 whoami 等命令来测试命令执行，但其他尝试则试图检索额外的有效载荷、收集 NetScaler 配置数据、建立反向 Shell、创建特权帐户和部署 Web Shell，”LevelBlue 说。
此披露发生在 Mandiant Consulting 和 Google 威胁情报组（GTIG）表示数十个组织受到利用 CVE-2026-88772 进行攻击的影响，以投放 PHP Web Shell（如 WHIPSHOT）和一个名为 SLAPSHOT 的 Python 隧道程序之后。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。