Zero-day NetScaler: malware WHIPSHOT și SLAPSHOT, IoC de căutat

📌 Evoluții ulterioare: NetScaler CVE-2026-107406: SAML IdP vulnerabil și după patch (9 octombrie 2026)

Cele două vulnerabilități critice din Citrix NetScaler ADC și NetScaler Gateway corectate pe 27 septembrie, CVE-2026-88771 și CVE-2026-88772 (CVSS 9.5), erau exploatate înainte de patch: am scris despre ele în articolul despre intruziuni. În zilele următoare au apărut detaliile atacurilor. Google Threat Intelligence Group (GTIG) și Mandiant au descris două familii de malware nemaivăzute, WHIPSHOT și SLAPSHOT, și sectoarele afectate; Rapid7 a publicat indicatori de compromitere concreți. În continuare, noutățile tehnice utile pentru a căuta urme de intruziune.

Cine a fost afectat

Potrivit avizului GTIG și Mandiant, preluat de The Register, campania este activă cel puțin de la începutul lui septembrie și a afectat probabil organizații din America de Nord și Europa din sectoarele public, servicii financiare, educație, juridic și servicii profesionale. Insicurezza Digitale adaugă și sectorul tehnologic.

Sursele nu sunt de acord asupra datei primei exploatări: pentru GTIG campania durează de la începutul lui septembrie; Insicurezza Digitale relatează că watchTowr a detectat atacuri începând cu 20 septembrie; GreyNoise, citată de The Register, a observat o încercare de exploatare a CVE-2026-88771 împotriva unui NetScaler Gateway pe 24 septembrie. Toate sunt de acord într-o privință: atacurile au început înainte de dezvăluirea Citrix, duminică, 27 septembrie. Atribuirea nu este publică; watchTowr amintește că NetScaler a fost vizat atât de grupuri sponsorizate de state, cât și de operatori de ransomware.

WHIPSHOT și SLAPSHOT

După exploatare, atacatorii instalează instrumente create la comandă pentru a păstra un acces persistent cu privilegii root și a folosi echipamentul ca punte spre rețeaua internă:

• WHIPSHOT este un web shell în PHP deghizat în pachet Debian. Ascunde comenzile de comandă și control, codificate în Base64, în anteturi HTTP obișnuite și servește drept canal de transport HTTP pentru SLAPSHOT.
• SLAPSHOT este un instrument de tunelare TCP scris în Python. Primește comenzi de la WHIPSHOT și redirecționează fluxuri TCP arbitrare către hosturi interne. Comenzile descrise sunt open (deschide o conexiune TCP către un host și un port), push (scrie date într-o sesiune), pull (citește date dintr-o sesiune), exch (schimbă date de comandă și control), close (închide o sesiune) și ping (verificare de funcționare).

În cel puțin o intruziune, potrivit GTIG și Mandiant, atacatorul a trecut traficul prin acest proxy pentru a face manual recunoaștere internă și furt de credențiale.

Indicatori publici

Potrivit Insicurezza Digitale, Rapid7 a documentat un exploit pentru CVE-2026-88771 bazat pe injecție de comenzi cu separatorul $IFS. Comanda observată arhivează întregul director /flash/nsconfig într-un fișier din directorul web public /vpn/, de unde poate fi descărcat fără autentificare:

tar${IFS}czf$IFS/var/netscaler/gui/vpn/c$IFS-C$IFS/flash${IFS}nsconfig

Directorul conține ns.conf cu parolele criptate, certificatele SSL, cheile private și credențialele LDAP, RADIUS și TACACS. Alți indicatori:

• web shell: /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver, SHA256 ed082f744f035035900f67edf438f2f7d0528ac501234f63d476d65273cdb9a1;
• CVE-2026-88779, defectul SAML despre care am scris în articolul dedicat: nume de utilizator de autentificare construite cu comenzi shell, descărcarea unui payload de la adresa 213.209.159.55, salvarea în calea /v și executarea. Un semnal timpuriu sunt căderile repetate ale procesului nsaaad, până la depășirea limitelor de repornire ale supervizorului Pitboss: de aici numele „PitScaler” dat cazului de cercetătorul Kevin Beaumont. Citrix clasifică impactul drept denial of service; Beaumont și watchTowr indică posibilitatea de execuție de cod.

În termeni MITRE ATT&CK, comportamentele descrise corespund tehnicilor T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1036 (Masquerading) pentru falsul pachet Debian, T1132.001 (Standard Encoding) pentru Base64 din anteturi, precum și T1090.001 (Internal Proxy) și T1572 (Protocol Tunneling) pentru SLAPSHOT.

Contextul

CERT-IS din Islanda cere actualizarea imediată și verificarea semnelor de intruziune; pe 7 octombrie, Centre for Cybersecurity Belgium (CCB) a cerut actualizarea NetScaler ADC, Gateway și FIPS din cauza unei vulnerabilități critice de HTTP request/response smuggling. Potrivit Insicurezza Digitale, și ACSC din Australia a confirmat organizații afectate. Dark Reading și The Register critică întârzierea Citrix, care nu a comentat atacurile înainte de a publica corecțiile.

Impactul pentru companiile europene și italiene

Europa se numără printre zonele afectate, iar sectoarele indicate, începând cu administrația publică și finanțele, intră în mare parte în sfera NIS2. Furtul directorului /flash/nsconfig depășește echipamentul în sine: cheile private și credențialele serviciilor de director rămân utile atacatorului și după actualizare, până când sunt înlocuite.

Pentru entitățile NIS2, compromiterea gateway-ului de acces la distanță este un incident de evaluat pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN); băncile și instituțiile financiare trebuie să aibă în vedere și obligațiile de raportare din regulamentul DORA. În sănătate, gateway-ul oferă adesea acces la distanță la sistemele clinice.

Ce să faci acum

1. Mai întâi verifică, apoi actualizează: Charles Carmakal de la Mandiant recomandă căutarea semnelor de compromitere înainte de actualizare, pentru că patch-ul singur s-ar putea să nu-l elimine pe atacator. Dacă găsești web shell-uri sau fișiere suspecte, păstrează dovezile și stabilește amploarea intruziunii.
2. Caută indicatorii: fișierul .ctxs.receiver și hash-ul lui, arhive neașteptate în /var/netscaler/gui/vpn/, fișiere PHP necunoscute în directoarele web, fișierul /v, conexiuni către 213.209.159.55 și căderi repetate ale nsaaad. Folosește și instrumentul Citrix pentru indicatori de compromitere din NetScaler Console și generatorul de artefacte de detecție de la watchTowr.
3. Verifică traficul intern: SLAPSHOT deschide conexiuni TCP de la echipament către hosturi interne. Caută în jurnalele firewall-urilor interne conexiuni neobișnuite care pornesc de la NetScaler.
4. Dacă găsești urme ale furtului nsconfig: consideră expuse toate secretele din configurație. Înlocuiește certificatele și cheile private, schimbă parolele conturilor LDAP, RADIUS și TACACS și pe cele administrative și invalidează sesiunile active.
5. Actualizează: potrivit Insicurezza Digitale, build-urile 14.1-73.41 și 13.1-64.28 din 3 octombrie corectează toate cele trei CVE (14.1-73.41 FIPS și 13.1-37.282 pentru FIPS și NDcPP). Dacă folosești SAML, verifică și buletinele ulterioare descrise în articolul despre zero-day-ul SAML.
6. Redu suprafața de atac: dacă nu ai nevoie de el, ia în calcul dezactivarea DTLS pe serverele virtuale VPN, condiție necesară pentru CVE-2026-88772. Până la actualizare, aplică semnăturile din NetScaler Global Deny List.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să găsești rapid echipamentele NetScaler de verificat. ARX Sentry adună jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central, astfel încât conexiunile anormale de la perimetru spre rețeaua internă rămân sub ochii analiștilor. Cu ARX Horizon poți căuta din portal indicatorii de compromitere și poți consulta vulnerabilitățile.

Ultima actualizare: 9 octombrie 2026