攻撃者は、インターネットに公開されたCitrix NetScalerアプライアンスを標的に、改変版のリモート管理ツール「Platypus」を使用しています。オープンソースプロジェクトを、権限昇格と秘匿的な永続化の機能を備えたバックドアに作り替えた形です。
提供されたBinary Defenseのレポートによると、調査担当者はアプライアンスの侵害が疑われる事案を分析する中で、FreeBSD用のインプラントとWindows用のエージェントを回収しました。
レポートは、CVE-2026-88771とCVE-2026-88772を悪用した攻撃について記述しています。これらの識別子と関連する脆弱性の詳細は、提供された資料の中で報告された調査結果として示されたものであり、ベンダーによる公式な開示を独自に検証したものではありません。
Binary Defenseの分析によると、同社のオンデマンド分析チームとインシデントレスポンスチームは、顧客がアップグレードを準備している最中に、2台のNetScalerデバイスを調査しました。1台のアプライアンスには悪用の痕跡が見られたものの、悪意のあるファイルは回収されませんでした。
もう1台からは、ドロップされたペイロードが見つかりました。調査担当者は、このペイロードが実行された可能性が高いとみています。ただし、インストール時の痕跡が残っていないことから、攻撃者のコントローラーへの登録は完了しなかったとみられます。
1つ目の脆弱性は、アプライアンスのログを介した、認証不要のコマンドインジェクションです。攻撃者が制御する入力が、NetScalerのPacket Processing Engineのクラッシュメッセージを模倣し、シェル構文を埋め込みます。
その後、メンテナンススクリプトのns_monuploadd_err.plが、ログに記録されたこの内容をシェル経由で処理します。これにより遅延実行の経路が生まれ、実行まで最大24時間かかる場合があると報告されています。
2つ目の脆弱性は、DTLSが有効な場合のDTLSハンドシェイク再構築処理に影響します。悪意のあるフラグメントにより、パケットエンジンはハンドシェイクへの寄与分として申告された量をはるかに上回るデータを保持してしまいます。
その後のチェックなしのコピー処理で、35,840バイトのスクラッチバッファがオーバーフローするとされています。これにより、悪用が可能になるほか、パケットエンジンのクラッシュを引き起こす恐れがあります。
調査担当者はns.logから、entretiensol[.]comからインストールスクリプトを取得してシェルにパイプ実行するブートストラップコマンドを発見しました。このインストーラーは、被害環境のオペレーティングシステムとアーキテクチャに合致するエージェントを選択し、続いてコントローラー情報と使い捨ての登録トークンを提供します。
回収されたFreeBSDの実行ファイルは、拡張子.plを使ってPerlファイルに偽装されていました。Binary Defenseは、一致するコミットメタデータ、バージョン情報、ビルドのタイムスタンプ、Ed25519のプラグイン署名鍵から、このファイルをWindows版ビルドと関連付けました。両エージェントは、同じプライベートフォークから作られたと報告されています。
中核となる機能には、相互TLSによる登録、対話型の疑似端末アクセス、ファイル操作、WebAssemblyプラグイン、署名付きアップデート、mDNSによるローカルエージェントの検出が含まれます。研究者らは、調査した公開プロジェクトの履歴には存在しない追加モジュールを2つ確認しました。
rootescモジュールは、許可されたsudoコマンドの悪用を含む権限昇格機能を追加します。selfpersistモジュールは、永続化用のラッパー、ウォッチドッグ機能、タイムスタンプの改ざん、クリーンアップ処理、そして正規のヘルスモニタリングサービスに似せた識別名を備えています。
隔離したWindowsサンドボックスでの実行では、プログラムの動作と繰り返しの登録試行が確認されましたが、コントローラーへの登録は成功しませんでした。永続化、権限昇格、プラグインの実行は、このテストで実際に確認された挙動ではなく、コード上で裏付けられた機能にとどまっています。
レポートは、実際にはELFバイナリである不審な.plファイル、隠しエージェントディレクトリ、想定外のスケジュールタスク、アプライアンスからの異常な外向き通信を調査するよう推奨しています。関連するアーティファクトには、agent.lock、client.crt、state.dbがあります。
標準的なログ転送では証拠が欠落する可能性があるため、防御側はローカルのHTTPログ、シェルログ、システムログを収集する必要があります。高可用性（HA）ペアでは、同期された設定を通じて永続化が伝播する恐れがあるため、両方のノードを個別に調べてください。
調査担当者はこの攻撃を特定の脅威グループの仕業とは断定しておらず、入手可能な証拠からは、登録の成功やより広範な下流への侵害は確認されていません。
16,000以上のSOCチームが、脅威調査の効率化と手作業の削減にANY.RUNを活用しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-citrix-netscaler-zero-days-2/
