NetScaler WHIPSHOT și SLAPSHOT: exploatare din septembrie
Pe 30 septembrie 2026, Mandiant și Google Threat Intelligence Group (GTIG) au publicat analiza exploatării NetScaler ADC și Gateway și au mutat datele problemei: exploatarea CVE-2026-88772 și CVE-2026-88771 durează „de cel puțin începutul lui septembrie”, cu aproape trei săptămâni înainte de buletinul Citrix din 27 septembrie. Atacatorii au folosit un web shell numit WHIPSHOT și un instrument de tunelare, SLAPSHOT, pentru recunoaștere internă și furt de credențiale.
Dacă ați citit articolul nostru din 29 septembrie, perioada de risc pe care v-am recomandat-o (cel târziu de la 20 septembrie) este acum depășită: începeți analiza din 1 septembrie. Mai importante sunt două lecții operaționale: actualizarea nu curăță un appliance deja compromis, iar rotirea credențialelor se face după ce aparatul a fost corectat, nu înainte.
Ce s-a schimbat față de buletinul Citrix
GTIG spune că exploatarea a început cel puțin la începutul lui septembrie și a vizat organizații din America de Nord și Europa, din guvern, servicii financiare, tehnologie, educație și servicii juridice și profesionale. Citrix a confirmat exploatarea pe 27 septembrie. SecurityWeek citează Mandiant: zeci de organizații lovite; Kevin Beaumont ar fi cunoscut peste 100 de victime. Sunt estimări atribuite, nu cifre verificate de Citrix.
GTIG nu atribuie campania unui grup. The Hacker News relatează că GreyNoise a observat apoi o creștere de la recunoaștere în masă la exploatare în masă, cu mai mulți actori independenți, iar directorul tehnic Mandiant se așteaptă la exploatare largă și oportunistă în perioada următoare. Palo Alto Networks (Unit 42) a identificat, din telemetria sa, 50.277 de instanțe expuse care ar putea fi vulnerabile la 27 septembrie.
Sursele diferă asupra primelor semnale: BleepingComputer spune că GreyNoise a văzut o încercare pe 24 septembrie, iar Cybersecurity Dive indică 26 septembrie. Diferența contează mai puțin decât concluzia GTIG: nu vă bazați pe o dată exactă, ci pe faptul că perioada de risc începe în septembrie.
Ce fac WHIPSHOT și SLAPSHOT
Potrivit GTIG, WHIPSHOT este un web shell PHP care ascunde comenzile și datele atacatorului, codificate Base64, în anteturi HTTP obișnuite. SLAPSHOT este un tunelator Python care primește comenzi de la WHIPSHOT și redirecționează fluxuri TCP către gazde interne, pentru recunoaștere și furt de credențiale. Rolul practic: un NetScaler compromis devine punct de intrare în rețeaua internă, nu doar un aparat defect.
GTIG și BleepingComputer descriu persistența prin modificarea configurației serverului web al appliance-ului, astfel încât fișiere care par statice să fie executate ca PHP. Din acest motiv, o verificare doar a fișierelor PHP evidente poate rata infecția. Nu reproducem aici fragmentele de configurare sau indicatorii tehnici: folosiți-i direct din raportul GTIG și din instrumentele Citrix.
Actualizarea nu curăță un aparat compromis
Directorul tehnic Mandiant, citat de Cybersecurity Dive, spune că organizațiile trebuie să verifice dacă au fost compromise înainte de upgrade, pentru că actualizarea fără celelalte măsuri poate să nu rezolve infecția. Unit 42 scrie la fel: actualizarea nu elimină accesul unui atacator care și-a stabilit deja persistența. Raportul GTIG recomandă ultimul build Citrix pentru ambele vulnerabilități, dar nu afirmă că actualizarea elimină un implant.
Prin urmare, un appliance care a fost expus din septembrie are două stări posibile: curat sau compromis. O actualizare nu vă spune în care dintre ele este.
- ▸Înainte de upgrade, păstrează loguri, snapshoturi, support bundle și dumpuri ale fiecărui aparat expus.
- ▸Rulează scanerul de indicatori și verificatorul de integritate a fișierelor oferite de Citrix, plus regulile de detecție publicate de GTIG. Un rezultat curat nu dovedește absența compromiterii.
- ▸Caută fișiere și configurații neașteptate în directoarele web ale aparatului, fișiere ascunse în directorul temporar, lipsuri sau trunchieri în logurile de acces din perioada de risc și conexiuni de ieșire neobișnuite.
- ▸Dacă găsești indicii, izolează aparatul și reconstruiește-l dintr-o imagine curată; nu curăța manual.
Măsuri compensatorii: ce acoperă și ce nu
GTIG recomandă, ca măsuri compensatorii doar pentru CVE-2026-88772, dezactivarea DTLS acolo unde este posibil și blocarea traficului UDP/443 către appliance, dacă DTLS nu este necesar. Raportul precizează că aceste controale nu atenuează CVE-2026-88771 și că un build corectat rămâne necesar pentru ambele vulnerabilități. GTIG avertizează și că ACL-urile locale ale NetScaler lasă traficul să ajungă la motorul de procesare a pachetelor înainte de a fi eliminat, deci filtrarea trebuie făcută în amonte.
Rotește credențialele după corectare, în ordine
GTIG recomandă ca rotirea să se facă după ce aparatul a fost corectat. Dacă rotiți înainte, riscați ca secretele noi să fie citite de același acces.
- ▸Contul de administrator NetScaler, conturile locale, cheile SSH, certificatele TLS și cheile private asociate.
- ▸Conturile de bind LDAP și de serviciu, secretele partajate RADIUS, credențialele TACACS, șirurile comunitare SNMP și credențialele NITRO sau API.
- ▸Sesiunile active de administrare, Gateway și VPN: revocă-le.
- ▸Sistemele către care aparatul are acces, de exemplu Citrix StoreFront și Delivery Controllers, în special conturile care s-au autentificat prin el: caută mișcare laterală în logurile Windows.
Închide alerta cu dovezi
Awarely Monitor urmărește CVE-urile din KEV, prioritatea și dovezile remedierii pentru fiecare activ. Scanarea de indicatori, reconstruirea aparatelor și rotirea secretelor se fac în NetScaler și în sistemele voastre de loguri; un status „rezolvat” după simplul patch ascunde exact riscul rămas.
- ▸Lista aparatelor, buildul înainte și după, și fereastra de risc analizată, începând din 1 septembrie.
- ▸Dovezile păstrate, rezultatul scanerului de indicatori și al verificării integrității.
- ▸Decizia pentru fiecare aparat: curat, reconstruit sau investigat, cu responsabil.
- ▸Rotirea credențialelor făcută după patch și verificarea sistemelor conectate.
Nu închide alerta doar cu patchul
Notează în Awarely Monitor fiecare aparat ca curat, reconstruit sau în investigație, cu dovezi și responsabil. Scanarea de indicatori și rotirea secretelor rămân în NetScaler și în sistemele voastre.