Día cero en NetScaler: malware WHIPSHOT y SLAPSHOT, IoC a buscar

📌 Novedades posteriores: NetScaler CVE-2026-107406: SAML IdP en riesgo incluso con parches (9 de octubre de 2026)

Las dos vulnerabilidades críticas de Citrix NetScaler ADC y NetScaler Gateway corregidas el 27 de septiembre, CVE-2026-88771 y CVE-2026-88772 (CVSS 9.5), se explotaban antes del parche: hablamos de ellas en el artículo sobre las intrusiones. En los días siguientes llegaron los detalles de los ataques. Google Threat Intelligence Group (GTIG) y Mandiant describieron dos familias de malware nunca vistas, WHIPSHOT y SLAPSHOT, y los sectores afectados; Rapid7 publicó indicadores de compromiso concretos. A continuación, las novedades técnicas útiles para buscar rastros de intrusión.

A quién afecta

Según el aviso de GTIG y Mandiant, recogido por The Register, la campaña está activa al menos desde principios de septiembre y probablemente ha afectado a organizaciones de Norteamérica y Europa en los sectores público, de servicios financieros, educativo, legal y de servicios profesionales. Insicurezza Digitale añade también el sector tecnológico.

Las fuentes no coinciden en la fecha de la primera explotación: para GTIG la campaña dura desde principios de septiembre; Insicurezza Digitale informa de que watchTowr detectó ataques desde el 20 de septiembre; GreyNoise, citada por The Register, observó un intento de explotar CVE-2026-88771 contra un NetScaler Gateway el 24 de septiembre. En algo coinciden todas: los ataques empezaron antes de la divulgación de Citrix, el domingo 27 de septiembre. La atribución no es pública; watchTowr recuerda que NetScaler ha sido objetivo tanto de grupos patrocinados por estados como de operadores de ransomware.

WHIPSHOT y SLAPSHOT

Tras la explotación, los atacantes instalan herramientas hechas a medida para mantener un acceso persistente con privilegios de root y usar el equipo como puente hacia la red interna:

• WHIPSHOT es una web shell en PHP camuflada como paquete Debian. Oculta las órdenes de mando y control, codificadas en Base64, dentro de cabeceras HTTP normales y actúa como canal de transporte HTTP para SLAPSHOT.
• SLAPSHOT es una herramienta de tunelización TCP escrita en Python. Recibe órdenes de WHIPSHOT y reenvía flujos TCP arbitrarios hacia hosts internos. Las órdenes descritas son open (abre una conexión TCP hacia un host y un puerto), push (escribe datos en una sesión), pull (lee datos de una sesión), exch (intercambia datos de mando y control), close (cierra una sesión) y ping (comprobación de funcionamiento).

En al menos una intrusión, según GTIG y Mandiant, el atacante hizo pasar el tráfico por este proxy para realizar manualmente reconocimiento interno y robo de credenciales.

Indicadores públicos

Según Insicurezza Digitale, Rapid7 documentó un exploit para CVE-2026-88771 basado en inyección de comandos con el separador $IFS. El comando observado comprime toda la carpeta /flash/nsconfig en un archivo dentro de la carpeta web pública /vpn/, desde donde se puede descargar sin autenticación:

tar${IFS}czf$IFS/var/netscaler/gui/vpn/c$IFS-C$IFS/flash${IFS}nsconfig

La carpeta contiene ns.conf con las contraseñas cifradas, los certificados SSL, las claves privadas y las credenciales LDAP, RADIUS y TACACS. Otros indicadores:

• web shell: /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver, SHA256 ed082f744f035035900f67edf438f2f7d0528ac501234f63d476d65273cdb9a1;
• CVE-2026-88779, el fallo SAML del que hablamos en el artículo dedicado: nombres de usuario de autenticación construidos con comandos shell, descarga de un payload desde la dirección 213.209.159.55, guardado en la ruta /v y ejecución. Una señal temprana son los fallos repetidos del proceso nsaaad hasta superar los límites de reinicio del supervisor Pitboss: de ahí el nombre «PitScaler» que el investigador Kevin Beaumont dio al caso. Citrix clasifica el impacto como denegación de servicio; Beaumont y watchTowr señalan capacidad de ejecución de código.

En términos de MITRE ATT&CK, los comportamientos descritos corresponden a T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1036 (Masquerading) por el falso paquete Debian, T1132.001 (Standard Encoding) por el Base64 en las cabeceras, y T1090.001 (Internal Proxy) y T1572 (Protocol Tunneling) para SLAPSHOT.

El contexto

El CERT-IS islandés pide actualizar de inmediato y comprobar si hay señales de intrusión; el 7 de octubre el Centre for Cybersecurity Belgium (CCB) instó a actualizar NetScaler ADC, Gateway y FIPS por una vulnerabilidad crítica de HTTP request/response smuggling. Según Insicurezza Digitale, también la ACSC australiana confirmó organizaciones afectadas. Dark Reading y The Register critican los tiempos de Citrix, que no comentó los ataques antes de publicar las correcciones.

Impacto para las empresas europeas e italianas

Europa está entre las zonas afectadas y los sectores señalados, empezando por la administración pública y las finanzas, entran en gran parte en el ámbito de NIS2. El robo de /flash/nsconfig va más allá del equipo: las claves privadas y las credenciales de los servicios de directorio siguen siendo útiles para el atacante incluso después de actualizar, hasta que se sustituyan.

Para las entidades NIS2, la compromisión del gateway de acceso remoto es un incidente que debe valorarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN; bancos y entidades financieras deben tener en cuenta también las obligaciones de notificación del reglamento DORA. En el sector sanitario, el gateway suele dar acceso remoto a los sistemas clínicos.

Qué hacer ya

1. Primero comprueba, luego actualiza: Charles Carmakal, de Mandiant, recomienda buscar señales de compromiso antes de actualizar, porque el parche por sí solo podría no eliminar al atacante. Si encuentras web shells o archivos sospechosos, conserva las pruebas y determina el alcance de la intrusión.
2. Busca los indicadores: el archivo .ctxs.receiver y su hash, archivos inesperados en /var/netscaler/gui/vpn/, archivos PHP desconocidos en las carpetas web, el archivo /v, conexiones hacia 213.209.159.55 y fallos repetidos de nsaaad. Usa también la herramienta de Citrix para los indicadores de compromiso en NetScaler Console y el generador de artefactos de detección de watchTowr.
3. Revisa el tráfico interno: SLAPSHOT abre conexiones TCP desde el equipo hacia hosts internos. Busca en los registros de los firewalls internos conexiones inusuales que salgan del NetScaler.
4. Si encuentras rastros del robo de nsconfig: considera expuestos todos los secretos de la configuración. Sustituye certificados y claves privadas, cambia las contraseñas de las cuentas LDAP, RADIUS y TACACS y las administrativas, e invalida las sesiones activas.
5. Actualiza: según Insicurezza Digitale, las builds 14.1-73.41 y 13.1-64.28 del 3 de octubre corrigen las tres CVE (14.1-73.41 FIPS y 13.1-37.282 para FIPS y NDcPP). Si usas SAML, revisa también los boletines posteriores descritos en el artículo sobre el día cero SAML.
6. Reduce la superficie: si no lo necesitas, valora desactivar DTLS en los servidores virtuales VPN, condición necesaria para CVE-2026-88772. Mientras no puedas actualizar, aplica las firmas de la NetScaler Global Deny List.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a encontrar rápidamente los NetScaler que hay que revisar. ARX Sentry reúne los registros de los firewalls y de los dispositivos de red en un colector central, para que las conexiones anómalas del perímetro hacia la red interna queden a la vista de los analistas. Con ARX Horizon puedes buscar desde el portal los indicadores de compromiso y consultar las vulnerabilidades.

Última actualización: 9 de octubre de 2026