Zero-day NetScaler: malware WHIPSHOT e SLAPSHOT e IoC da cercare

📌 Sviluppi successivi: NetScaler CVE-2026-107406: SAML IdP a rischio anche dopo le patch (9 ottobre 2026)

Le due vulnerabilità critiche di Citrix NetScaler ADC e NetScaler Gateway corrette il 27 settembre, CVE-2026-88771 e CVE-2026-88772 (CVSS 9.5), erano sfruttate prima della patch: ne abbiamo parlato nell’articolo sulle intrusioni. Nei giorni successivi sono arrivati i dettagli sugli attacchi. Google Threat Intelligence Group (GTIG) e Mandiant hanno descritto due malware mai visti prima, WHIPSHOT e SLAPSHOT, e i settori colpiti; Rapid7 ha pubblicato indicatori di compromissione concreti. Di seguito le novità tecniche utili per cercare tracce di intrusione.

Chi è stato colpito

Secondo l’avviso di GTIG e Mandiant, ripreso da The Register, la campagna è attiva almeno da inizio settembre e ha probabilmente colpito organizzazioni in Nord America ed Europa nei settori pubblico, dei servizi finanziari, dell’istruzione, legale e dei servizi professionali. Insicurezza Digitale aggiunge anche il settore tecnologico.

Le fonti non concordano sulla data del primo sfruttamento: per GTIG la campagna dura da inizio settembre; Insicurezza Digitale riporta che watchTowr ha rilevato attacchi dal 20 settembre; GreyNoise, citata da The Register, ha osservato un tentativo di sfruttamento di CVE-2026-88771 contro un NetScaler Gateway il 24 settembre. Su un punto concordano tutte: gli attacchi sono iniziati prima della divulgazione di Citrix, domenica 27 settembre. L’attribuzione non è pubblica; watchTowr ricorda che in passato NetScaler è stato preso di mira sia da gruppi sostenuti da stati sia da operatori ransomware.

WHIPSHOT e SLAPSHOT

Dopo lo sfruttamento, gli attaccanti installano strumenti scritti su misura per mantenere un accesso persistente con privilegi di root e usare l’apparato come ponte verso la rete interna:

• WHIPSHOT è una web shell in PHP camuffata da pacchetto Debian. Nasconde i comandi di comando e controllo, codificati in Base64, dentro normali intestazioni HTTP e fa da canale di trasporto HTTP per SLAPSHOT.
• SLAPSHOT è uno strumento di tunneling TCP scritto in Python. Riceve i comandi da WHIPSHOT e inoltra flussi TCP arbitrari verso host interni. I comandi descritti sono open (apre una connessione TCP verso un host e una porta), push (scrive dati in una sessione), pull (legge dati da una sessione), exch (scambia dati di comando e controllo), close (chiude una sessione) e ping (verifica di funzionamento).

In almeno un’intrusione, riferiscono GTIG e Mandiant, l’attaccante ha fatto passare il traffico da questo proxy per svolgere a mano ricognizione interna e furto di credenziali.

Indicatori pubblici

Secondo Insicurezza Digitale, Rapid7 ha documentato un exploit per CVE-2026-88771 basato su command injection con il separatore $IFS. Il comando osservato comprime l’intera cartella /flash/nsconfig in un archivio dentro la cartella web pubblica /vpn/, da cui si può scaricare senza autenticazione:

tar${IFS}czf$IFS/var/netscaler/gui/vpn/c$IFS-C$IFS/flash${IFS}nsconfig

La cartella contiene ns.conf con le password cifrate, i certificati SSL, le chiavi private e le credenziali LDAP, RADIUS e TACACS. Altri indicatori:

• web shell: /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver, SHA256 ed082f744f035035900f67edf438f2f7d0528ac501234f63d476d65273cdb9a1;
• CVE-2026-88779, il difetto SAML di cui abbiamo parlato nell’articolo dedicato: nomi utente di autenticazione costruiti con comandi shell, download di un payload dall’indirizzo 213.209.159.55, salvataggio nel percorso /v ed esecuzione. Un segnale precoce sono i crash ripetuti del processo nsaaad, fino al superamento dei limiti di riavvio del supervisore Pitboss: da qui il nome “PitScaler” dato alla vicenda dal ricercatore Kevin Beaumont. Citrix classifica l’impatto come denial of service; Beaumont e watchTowr indicano capacità di esecuzione di codice.

In termini MITRE ATT&CK, i comportamenti descritti corrispondono a T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1036 (Masquerading) per il finto pacchetto Debian, T1132.001 (Standard Encoding) per il Base64 nelle intestazioni, T1090.001 (Internal Proxy) e T1572 (Protocol Tunneling) per SLAPSHOT.

Il quadro

Il CERT-IS islandese chiede di aggiornare subito e di verificare segni di intrusione; il 7 ottobre il Centre for Cybersecurity Belgium (CCB) ha invitato ad aggiornare NetScaler ADC, Gateway e FIPS per una vulnerabilità critica di HTTP request/response smuggling. Secondo Insicurezza Digitale, anche l’australiana ACSC ha confermato organizzazioni colpite. Dark Reading e The Register criticano i tempi di Citrix, che non ha commentato gli attacchi prima di pubblicare le correzioni.

Impatto per le aziende europee e italiane

L’Europa è tra le aree colpite e i settori indicati, a partire da pubblica amministrazione e finanza, rientrano in buona parte nel perimetro NIS2. Il furto di /flash/nsconfig va oltre l’apparato: chiavi private e credenziali dei servizi di directory restano utili all’attaccante anche dopo l’aggiornamento, finché non vengono sostituite.

Per i soggetti NIS2 la compromissione del gateway di accesso remoto è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN; banche e intermediari finanziari devono considerare anche gli obblighi di segnalazione del regolamento DORA. Nella sanità il gateway apre spesso l’accesso remoto ai sistemi clinici.

Cosa fare subito

1. Prima verifica, poi aggiorna: Charles Carmakal di Mandiant raccomanda di cercare segni di compromissione prima di aggiornare, perché la patch da sola potrebbe non eliminare l’attaccante. Se trovi web shell o file sospetti, conserva le prove e ricostruisci l’estensione dell’intrusione.
2. Cerca gli indicatori: il file .ctxs.receiver e il suo hash, archivi inattesi in /var/netscaler/gui/vpn/, file PHP sconosciuti nelle cartelle web, il file /v, connessioni verso 213.209.159.55, crash ripetuti di nsaaad. Usa anche lo strumento di Citrix per gli indicatori di compromissione in NetScaler Console e il generatore di artefatti di rilevamento di watchTowr.
3. Controlla il traffico interno: SLAPSHOT apre connessioni TCP dall’apparato verso host interni. Cerca nei log dei firewall interni connessioni insolite che partono dal NetScaler.
4. Se trovi tracce del furto di nsconfig: considera esposti tutti i segreti della configurazione. Sostituisci certificati e chiavi private, cambia le password degli account LDAP, RADIUS e TACACS e quelle amministrative, invalida le sessioni attive.
5. Aggiorna: secondo Insicurezza Digitale, le build 14.1-73.41 e 13.1-64.28 del 3 ottobre correggono tutte e tre le CVE (14.1-73.41 FIPS e 13.1-37.282 per FIPS e NDcPP). Se usi SAML, controlla anche i bollettini successivi descritti nell’articolo sullo zero-day SAML.
6. Riduci la superficie: se non ti serve, valuta di disattivare DTLS sui virtual server VPN, condizione necessaria per CVE-2026-88772. In attesa dell’aggiornamento, applica le firme della NetScaler Global Deny List.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a trovare in fretta i NetScaler da controllare. ARX Sentry raccoglie i log dei firewall e dei dispositivi di rete in un collettore centrale, così le connessioni anomale dal perimetro verso la rete interna restano sotto gli occhi degli analisti. Con ARX Horizon puoi cercare dal portale gli indicatori di compromissione e consultare le vulnerabilità.

Ultimo aggiornamento: 9 ottobre 2026