Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Citrix NetScaler Post-Exploitation Payload Creates Superuser, Maps Web Shell to CSS-Like URLs

1 minute de lecture

Mis à jour :

Menaces actives sur Citrix NetScaler : Exploitation et persistance

Des acteurs malveillants exploitent activement des vulnérabilités critiques dans Citrix NetScaler ADC et Gateway pour infiltrer les systèmes, exfiltrer des configurations et maintenir une persistance via des web shells dissimulés.

Vulnérabilités critiques

  • CVE-2026-88771 (CVSS 9.5) : Injection de commandes sans authentification due à une validation d’entrée défaillante.
  • CVE-2026-88772 : Utilisée conjointement pour déployer des web shells (ex: WHIPSHOT) et des outils de tunnelisation (ex: SLAPSHOT).

Points clés de l’exploitation

  • Post-exploitation : Les attaquants créent un utilisateur privilégié (sec_monitor), extraient les données de configuration via des scripts Perl et suppriment leurs traces pour limiter l’analyse forensique.
  • Persistance furtive : Modification de la configuration du serveur web (httpd.conf) pour mapper des web shells PHP sur des URL imitant des fichiers CSS légitimes.
  • Commandes ciblées : Utilisation de scripts Python pour établir des reverse shells et neutraliser les processus de surveillance existants (ex: customsnmpd).
  • Infrastructures observées : Plusieurs serveurs distants sont utilisés pour le téléchargement de charges utiles (Payloads), notamment via des adresses IP comme 64.94.85.67, 31.56.197.72 et 23.27.143.20.

Recommandations

  • Mise à jour immédiate : Appliquer les correctifs de sécurité fournis par l’éditeur pour les vulnérabilités CVE-2026-88771 et CVE-2026-88772.
  • Surveillance des logs : Rechercher des chaînes suspectes comme pitboss ou NSPPE dans les logs d’authentification et surveiller la création de comptes utilisateurs inattendus (notamment sec_monitor).
  • Audit de configuration : Inspecter le répertoire /var/netscaler/logon/LogonPoint/ pour identifier la présence de fichiers suspects (web shells) et vérifier l’intégrité des fichiers de configuration web (ns.conf, httpd.conf).
  • Segmentation et durcissement : Restreindre les communications sortantes depuis les appliances NetScaler vers Internet pour empêcher la récupération de charges utiles ou l’établissement de reverse shells.

Source

Vous pourriez aimer