Масштаб проблемы и новые вредоносные программы
Агентство по кибербезопасности США (CISA) потребовало от федеральных ведомств экстренно устранить уязвимости CVE-2026-88771 и CVE-2026-88772 в Citrix NetScaler. По данным компании Shadowserver, в сети остаются доступны более 23 000 потенциально уязвимых устройств. Согласно отчету Mandiant, атаки с использованием уязвимостей нулевого дня начались еще в начале сентября и затронули государственные, финансовые и юридические организации в Северной Америке и Европе. В сообществе исследователей обнаруженные бреши получили неофициальное название PitScaler.
Технические детали и механика атак
Эксперты компаний GreyNoise и Mandiant выяснили, как злоумышленники эксплуатируют бреши для получения прав root. Взлом вызывает повреждение памяти в компоненте обработки пакетов NSPPE. После обхода аутентификации хакеры изменяют конфигурационный файл веб-сервера /etc/httpd.conf, чтобы маскировать веб-шеллы под обычные стили CSS, файлы .deb или картинки .ico.
В ходе расследований специалисты выявили два ранее неизвестных зловреда:
- WHIPSHOT — веб-шелл на PHP, который маскируется под пакет Debian в директории скриптов VPN и проксирует запросы;
- SLAPSHOT — утилита туннелирования на базе Python, создающая скрытые сетевые мосты между шлюзом и внутренними ресурсами организации.
Требования регуляторов и методы защиты
Директива CISA обязывает ведомства закрыть бреши до конца сентября. Citrix уже выпустила исправления, однако эксперты предупреждают: перед установкой патчей необходим тщательный поиск следов взлома. Установка обновлений может привести к сбросу вредоносных процессов, но не удалит уже созданные хакерами туннели во внутреннюю сеть.
Что это значит для вас
Администраторам Citrix NetScaler следует немедленно установить патчи от производителя, предварительно проверив системы на следы компрометации. Проверьте конфигурационный файл /etc/httpd.conf на наличие подозрительных правил AliasMatch, ищите скрытый файл .ctxs.receiver в каталоге logon и отслеживайте нестандартные процессы Python или модификации файлов /bin/sh. Сохраните дампы памяти и логи до применения обновлений, чтобы не потерять цифровые улики в случае проведенного взлома.
