Напаѓачите искористуваат пропуст во NetScaler за root пристап, распоредуваат WHIPSHOT и SLAPSHOT

Непознати актери на закани се забележани како искористуваат новопоправен безбедносен пропуст во уредите Citrix NetScaler ADC и NetScaler Gateway за напади врз организации во Северна Америка и Европа.

Активноста, забележана од Mandiant Consulting и Google Threat Intelligence Group (GTIG) во септември 2026 година, ги таргетирала секторите на владата, финансиските услуги, технологијата, образованието, како и правните и професионалните услуги.

„Искористувањето на CVE-2026-88772 го заобиколува процесот на автентикација и предизвикува необработено прекинување на NetScaler Packet Processing Engine (NSPPE), со што се воспоставува првичен пристап со root ниво на привилегии“, соопшти технолошкиот гигант.

Нападите го искористуваат пропустот за распоредување на post-exploitation toolkit, кој вклучува претходно непријавени PHP web shell алатки, како WHIPSHOT, способни да ги прикриваат Base64-кодираните command-and-control (C2) payload-и во стандардни HTTP headers.

Исто така се користи и нов тунелер напишан во Python, наречен SLAPSHOT, дизајниран да го проследува сообраќајот кон внатрешните мрежи за извидување и кражба на акредитиви. Во најмалку еден случај забележан од Google, се наведува дека актерот на закана го пренасочувал сообраќајот преку овој proxy за рачно да врши внатрешно извидување и кражба на акредитиви.

Како што детално објави watchTowr Labs, CVE-2026-88772 (CVSS оцена: 9,5) е пропуст поврзан со преполнување на меморијата во обработката на протоколот Datagram Transport Layer Security (DTLS) во компонентата NSPPE.

„За време на почетниот криптографски handshake пред автентикацијата, NSPPE ги обработува влезните DTLS record структури“, соопшти Google. „Анализата на телеметријата од системите на првата линија укажува дека испраќањето специјално креирани, неправилно форматирани или фрагментирани record headers предизвикува корупција на границите на heap меморијата во packet engine-от, пренасочувајќи го текот на извршување за да се изврши произволен shellcode со root ниво на привилегии на оперативниот систем на базната FreeBSD платформа.“

По успешно искористување на пропустот, web shell payload-от автоматски се инсталира со изменување на целните httpd.conf датотеки за да ги обработуваат Debian софтверските пакети во формат .deb како PHP скрипти, со што се овозможува распоредување на WHIPSHOT и SLAPSHOT. Ова се извршува преку почетниот installer.

Оваа промена во конфигурацијата му овозможила на напаѓачот да поставува web shell алатки со измамнички екстензии на датотеки во:

/netscaler/gui/vpn/scripts/linux

додаде одделот на Google за сајбер-безбедност.

Во други случаи, актерот на закана бил забележан како имплементира скриен конфигурациски hook кој го прикрива извршувањето на web shell-от како барања за слики и ги регистрира .sig датотеките како извршливи PHP скрипти откако ќе го активира mod_php engine-от.

Конфигурацијата исто така ги мапира дојдовните HTTP барања што завршуваат со .ico под:

/vpn/media/

директно кон соодветна .sig датотека со истото основно име во:

/var/netscaler/gui/vpn/scripts/linux/

„На пример, клиентите кои пристапуваат до /vpn/media/e6ee7c85.ico ќе бидат опслужени од поставениот PHP web shell e6ee7c85.sig“, соопшти Google. „Во најмалку еден случај, логовите за пристап до веб-серверот покажале GET барања што враќале HTTP 404 одговори, но со значително подолго време на обработка и големина на одговорот од неколку килобајти.“

„Во следните денови, актерот се обидувал да пристапи до непостоечки .sig датотеки, што генерирало грешки за недостасувачки датотеки во логовите httperror-vpn, што укажува дека датотеките не постоеле. Ова може да биде показател дека напаѓачите управуваат со слични web shell алатки во повеќе компромитирани средини.“

Синџирот на нападот потоа продолжува со воспоставување постојано извршување со root привилегии за web shell алатките, користејќи ги installer web shell-ите за промена на дозволите на:

/bin/sh

а потоа иницирање целосно рестартирање на NetScaler уредот.

Лесните PHP web shell алатки, маскирани како датотеки .deb и .sig, овозможуваат директно извршување команди и автоматско одржување на пристапот до уредот.

Еден од таквите web shell алатки е WHIPSHOT, кој извлекува Base64-кодирани команди и payload-и од HTTP headers, ги извршува и ги враќа резултатите.

SLAPSHOT, TCP tunneling алатка напишана во Python, функционира како мост кон внатрешната мрежа. Таа прима команди од WHIPSHOT и проследува произволни TCP текови кон внатрешни хостови со цел да овозможи внатрешно извидување, lateral movement и собирање акредитиви.

Ако во период од 10 минути нема активни сесии или команди, malware-от ги отстранува своите port и lock датотеки и го прекинува сопствениот процес за да ги прикрие трагите и да го минимизира бројот на форензички траги.

„Оваа кампања ја нагласува континуираната употреба на edge уреди како цел за добивање првичен пристап до мрежите на жртвите“, соопшти Google. „Овие уреди — вклучувајќи Application Delivery Controllers, VPN gateways и firewalls — остануваат атрактивни цели бидејќи се изложени на интернет, се надвор од досегот на алатките за endpoint detection and response (EDR) и често складираат или обработуваат акредитиви што можат да се искористат за подлабоко навлегување во мрежата.“

Овој развој доаѓа откако GreyNoise соопшти дека почнал да забележува дополнителна малициозна сајбер-активност поврзана со искористувањето на CVE-2026-88771 и CVE-2026-88772, почнувајќи од 28 септември 2026 година околу 08:30 часот EDT, проследено со значителен пораст истиот ден околу 22:30 часот EDT.

„Она што вчера започна како масовно извидување, сега еволуираше во целосно масовно искористување на пропустите од страна на голем број независни актери и кампањи“, изјави тимот на GreyNoise за The Hacker News. „Набљудуваме масовно распоредување на web shell алатки и malware, првенствено со цел регрутирање уреди во botnet мрежи и посредување за продажба/обезбедување пристап до компромитирани системи.“

Извори:

• The Hacker News – Attackers Exploit NetScaler Flaw for Root Access, Deploy WHIPSHOT and SLAPSHOT The Hacker News