Citrix NetScaler pod ostrzałem: web shell ukrywany jako CSS i konto superuser po eksploatacji CVE-2026-88771

Wprowadzenie do problemu / definicja

Nowa fala ataków na Citrix NetScaler ADC i NetScaler Gateway pokazuje, że zagrożenie nie kończy się na samym uzyskaniu zdalnego wykonania poleceń. W analizowanych incydentach operatorzy ataków przechodzili do pełnego etapu post-exploitation, tworząc trwałość, modyfikując konfigurację urządzenia oraz przygotowując mechanizmy dalszej zdalnej kontroli.

Szczególnie niepokojące jest to, że złośliwe komponenty były maskowane jako legalne zasoby webowe. Dzięki temu web shell mógł wyglądać jak zwykły plik CSS, co znacząco utrudnia wykrycie podczas rutynowej analizy logów, ruchu HTTP i zmian w konfiguracji.

W skrócie

Głównym wektorem ataku jest krytyczna luka CVE-2026-88771 w Citrix NetScaler.
Po udanej eksploatacji atakujący tworzyli lokalne konto superuser.
Obserwowano próby archiwizacji i wyprowadzenia konfiguracji urządzenia.
Na przejętych systemach instalowano web shell oraz modyfikowano konfigurację HTTP.
Złośliwe zasoby były ukrywane pod ścieżkami przypominającymi legalne pliki CSS.

Kontekst / historia

CVE-2026-88771 została opisana jako krytyczna podatność typu pre-auth command injection, umożliwiająca nieuwierzytelnionemu napastnikowi wykonanie dowolnych poleceń na podatnych instancjach NetScaler ADC i NetScaler Gateway. Doniesienia o aktywnym wykorzystaniu pojawiły się bardzo szybko, co sugeruje scenariusz zbliżony do ataku zero-day lub near-zero-day.

Równolegle w centrum uwagi znalazła się również luka CVE-2026-88772, także wiązana z aktywną eksploatacją. Najnowsze obserwacje pokazują jednak, że kampanie związane z CVE-2026-88771 wyróżniały się dojrzałym i uporządkowanym zestawem działań po przełamaniu zabezpieczeń, obejmującym zarówno utrzymanie dostępu, jak i przygotowanie do dalszych operacji.

Analiza techniczna

Zaobserwowane próby włamań wykorzystywały charakterystyczne dane wejściowe kontrolowane przez napastnika, których celem było uruchomienie poleceń w kontekście urządzenia. Następnie pobierano kolejne komponenty z zewnętrznej infrastruktury, między innymi z użyciem narzędzi takich jak curl lub wget.

Jednym z ładunków był skrypt Python odpowiedzialny za zestawienie reverse shell przez TCP na porcie 443. Dodatkowo skrypt wyszukiwał wybrane procesy systemowe i kończył ich działanie, co może wskazywać na próbę przejęcia pełnej kontroli nad środowiskiem lub usunięcia elementów zakłócających operację.

Drugi, bardziej rozbudowany payload w postaci skryptu Perl realizował zestaw czynności charakterystycznych dla zaawansowanego post-exploitation. Jego zadania obejmowały modyfikację konfiguracji NetScaler, utworzenie lokalnego konta sec_monitor z rolą superuser, przygotowanie archiwum katalogu konfiguracyjnego oraz próbę przesłania go na zewnętrzny serwer.

tworzenie uprzywilejowanego konta lokalnego,
archiwizację plików konfiguracyjnych urządzenia,
czyszczenie artefaktów po wykonaniu operacji,
zmianę uprawnień pliku /bin/sh do trybu 6555,
wdrożenie web shella PHP do zdalnego wykonywania poleceń i transferu plików,
modyfikację konfiguracji serwera HTTP w celu ukrycia złośliwego zasobu pod ścieżkami wyglądającymi jak pliki CSS.

Z perspektywy obrońców szczególnie groźny jest właśnie ostatni element. Ukrycie web shella pod adresem przypominającym statyczny zasób interfejsu zmniejsza prawdopodobieństwo wykrycia przez analityka, a także może osłabić skuteczność prostych mechanizmów detekcji opartych wyłącznie na nazwach plików lub rozszerzeniach.

Konsekwencje / ryzyko

Skuteczna eksploatacja NetScaler może prowadzić do przejęcia urządzenia brzegowego o krytycznym znaczeniu dla organizacji. Takie systemy często odpowiadają za publikację usług, terminację połączeń VPN oraz pośredniczenie w ruchu do zasobów wewnętrznych, dlatego ich kompromitacja stwarza wysokie ryzyko dla całego środowiska.

Utworzenie konta superuser oznacza trwały dostęp nawet po zakończeniu pierwotnej sesji atakującego. Jeszcze większym problemem może być wyciek konfiguracji urządzenia, ponieważ pliki te potrafią zawierać informacje o topologii, politykach bezpieczeństwa, integracjach uwierzytelniania i innych elementach ułatwiających dalszy ruch boczny lub kolejne etapy ataku.

Dodatkowo obecność web shella, zmiany w konfiguracji HTTP oraz modyfikacja uprawnień plików systemowych należy traktować jako silne wskaźniki pełnej kompromitacji. To nie są objawy prostego skanowania internetu, lecz oznaki rozwiniętej operacji prowadzonej już po uzyskaniu wykonania kodu.

Rekomendacje

Organizacje korzystające z Citrix NetScaler ADC lub NetScaler Gateway powinny potraktować tę kampanię jako incydent wysokiego priorytetu. Samo wdrożenie poprawek może nie być wystarczające, jeśli urządzenie zostało wcześniej przejęte i zmodyfikowane przez napastnika.

niezwłocznie zastosować poprawki producenta dla wszystkich podatnych wersji,
przeanalizować logi pod kątem prób command injection i nietypowych zdarzeń uwierzytelniania,
sprawdzić, czy na urządzeniu nie utworzono konta sec_monitor lub innych nieautoryzowanych użytkowników,
zweryfikować integralność plików takich jak ns.conf, httpd.conf oraz /bin/sh,
przeszukać katalogi webowe i konfigurację HTTP pod kątem podejrzanych aliasów oraz mapowań do zasobów imitujących pliki CSS,
zbadać połączenia wychodzące z urządzenia do nieznanej infrastruktury internetowej,
przeprowadzić rotację poświadczeń i przegląd zaufanych relacji, jeśli istnieje podejrzenie eksfiltracji konfiguracji,
w przypadku potwierdzenia trwałości lub obecności web shella rozważyć pełne odtworzenie z zaufanego stanu albo wymianę urządzenia.

Warto także rozszerzyć monitoring o detekcję zmian uprawnień plików systemowych, tworzenia archiwów w katalogach tymczasowych oraz uruchamiania interpreterów skryptowych przez procesy powiązane z usługami NetScaler.

Podsumowanie

Ataki na Citrix NetScaler związane z CVE-2026-88771 pokazują, jak szybko klasyczna podatność RCE może przerodzić się w pełnoskalową operację post-exploitation. Tworzenie konta superuser, przygotowywanie archiwów konfiguracyjnych i ukrywanie web shella pod ścieżkami CSS świadczą o wysokiej dojrzałości operatorów i jasno wskazują, że zagrożenie obejmuje nie tylko samo wejście do systemu, ale także długotrwałe utrzymanie dostępu.

Dla zespołów bezpieczeństwa oznacza to konieczność traktowania każdej oznaki eksploatacji urządzeń brzegowych jako potencjalnej pełnej kompromitacji. W praktyce liczy się nie tylko szybkie łatanie, ale także dokładne polowanie na artefakty, analiza zmian konfiguracyjnych i gotowość do pełnego odtworzenia środowiska.