Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Exploit NetScaler Flaw for Root Access, Deploy WHIPSHOT and SLAPSHOT

1 minute de lecture

Mis à jour :

Exploitation critique des appliances Citrix NetScaler : Menaces et vecteurs d’attaque

Des acteurs malveillants exploitent activement deux vulnérabilités critiques dans les solutions Citrix NetScaler ADC et Gateway pour compromettre des organisations gouvernementales, financières et technologiques en Amérique du Nord et en Europe. Cette campagne permet aux attaquants d’obtenir un accès root et de déployer des outils de post-exploitation sophistiqués.

Points clés :

  • Vecteurs d’attaque : Les attaquants manipulent les configurations du serveur web (via des modifications de httpd.conf) pour exécuter des scripts PHP déguisés en fichiers .deb ou .sig.
  • Outils malveillants :
    • WHIPSHOT : Un shell web PHP capable de dissimuler des commandes encodées en Base64 dans les en-têtes HTTP.
    • SLAPSHOT : Un tunneliseur Python facilitant le mouvement latéral et l’exfiltration de données vers des réseaux internes.
  • Persistance : Les assaillants modifient les permissions système et redémarrent l’appliance pour garantir la persistance de leur accès root.

Vulnérabilités :

  • CVE-2026-88772 (Score CVSS 9.5) : Débordement de mémoire (heap overflow) dans le protocole DTLS au sein du moteur NSPPE, permettant l’exécution de code arbitraire avec des privilèges root.
  • CVE-2026-88771 : Vulnérabilité exploitée via des payloads encodés en Base64 injectés dans les en-têtes HTTP (User-Agent), utilisée pour modifier les configurations du serveur et déployer des shells web.

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs fournis par Citrix pour les vulnérabilités CVE-2026-88772 et CVE-2026-88771.
  • Audit de configuration : Vérifier l’intégrité des fichiers de configuration du serveur web (httpd.conf), ainsi que la présence de fichiers suspects dans les répertoires /netscaler/gui/vpn/scripts/linux/ ou d’extensions inhabituelles traitées comme du PHP.
  • Analyse des logs : Surveiller les requêtes HTTP présentant des tailles anormales ou des durées de traitement élevées, ainsi que les erreurs liées à l’accès de fichiers .sig ou .deb inexistants.
  • Surveillance réseau : Détecter toute activité de tunneling inhabituelle ou connexions sortantes provenant des appliances Citrix vers des hôtes internes non autorisés.

Source

Vous pourriez aimer