Napadi na Citrix NetScaler trajali su nedeljama pre zakrpe
Mandiant navodi da se dve kritične ranjivosti zloupotrebljavaju bar od početka septembra. Posle upada napadači prave sopstveni administratorski nalog i iznose konfiguraciju uređaja.
Ranjivosti CVE-2026-88771 i CVE-2026-88772 u uređajima Citrix NetScaler ADC i NetScaler Gateway omogućavaju izvršavanje komandi na daljinu bez prijave. Citrix ih je zakrpio proteklog vikenda, a pre toga su državne agencije i bezbednosne firme savetovale administratorima da pogođene uređaje odmah isključe sa interneta, što je redak potez.
Prema izveštaju koji su objavili Mandiant i Googleova grupa za analizu pretnji, napadi su uočeni krajem septembra, ali je istraga pokazala da kampanja traje bar od početka meseca. Mete su bile organizacije u Evropi i Severnoj Americi iz državne uprave, finansija, obrazovanja i pravnih i stručnih usluga. Napadači su dobijali root pristup i postavljali veb ljuske za trajni pristup.
Tim LevelBlue opisao je šta sledi posle upada. Jedna od skripti menja datoteku ns.conf i pravi lokalni nalog sec_monitor sa najvišim ovlašćenjima, pakuje ceo direktorijum sa konfiguracijom i šalje ga na server napadača, a zatim briše arhivu i samu sebe.
Šta uraditi
- Instalirati zakrpe koje je Citrix objavio.
- U konfiguraciji potražiti nepoznate naloge, posebno sec_monitor.
- Ako je uređaj bio dostupan sa interneta pre zakrpe, lozinke i sertifikate iz njegove konfiguracije tretirati kao kompromitovane.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove