Citrix Netscaler后门分析——第一部分：2025年5月针对政府的攻击活动
这是前一篇帖子的后续，也是研究在野被利用为0day的不同Netscaler漏洞系列的一部分。
Citrix忘记告诉你：CVE-2025-6543自2025年5月起已被用作0day
我想详细说明系统是如何被植入后门的、使用了什么工具以及如何应对。
本文将研究今年早些时候在西方政府和法律机构中部署的后门，这些后门在补丁可用前一个多月就已存在。这些后门很可能是通过Volt Typhoon安装的——与之前的活动有很强的重叠性，攻击链高度复杂。这不是勒索软件组织，而是间谍活动。
后门在打补丁后仍然存在。Citrix基本上向客户隐藏了后门的存在，选择不公开披露后门的存在或技术细节。他们还仅向签署了保密协议的客户提供技术脚本。在之前的Netscaler事件中（这已经是一个持续约3年的问题，尽管今年事件数量有所增加），NSA和Mandiant充当了后盾，公开发布了指南。然而，到目前为止，两者都保持沉默——我不知道原因。
初始访问
这次攻击活动始于getAuthenticationRequirements.do中的一个漏洞。看起来Citrix已经修补了它……但没有发布技术指标允许组织在其Netscaler Web访问日志中进行搜索，也没有安全供应商进行详细分析。
密切关注对getAuthenticationRequirements.do的POST请求——这些可能是合法的，但通常相当罕见。
这是一个示例请求（格式有些混乱）：
|
|
Python脚本攻击链
可能引人注目的部分：
|
|
如果你在Netscaler前面有WAF，你肯定要过滤掉包含"base64"和python等术语的请求。
那么，这里发生了什么？
攻击者正在运行一个Python脚本，获取一些b85编码的值，这些值还经过zlib压缩和pickle处理。最终你会得到Python代码，该代码对PHP webshell进行XOR解密。
webshell本身通过POST请求接收AES加密的命令。这是一个写入磁盘的示例webshell：
|
|
威胁行为者将shell存储在/var/netscaler/logon上的各种位置，这些目录是Web可访问的。例如，在某些组织中，他们将shell转储到LogonPoint的index.php中。在其他组织中，他们将PHP文件存储在客户主题位置。
其他攻击者活动
攻击者将/bin/sh复制到/var/tmp/sh，并使/var/tmp/sh成为suid root，以便稍后将其权限提升为root。
他们还优雅地重新启动了apache——Netscaler作为产品从不这样做，所以如果你还有日志，这是一个很好的取证线索。你可能没有。
他们还在一个合法文件上进行了时间戳篡改——/var/netscaler/logon/LogonPoint/receiver/js/external/jquery.min.js——将文件更改为非标准日期。
然后你可以在Netscaler Web访问日志中看到攻击者对jquery.min.js的GET请求——他们似乎在查看Last Modified HTTP头，以查看他们的攻击是否成功以及该盒子是否已被修补（该文件在修补期间被替换）。然而，很难从日志中知道哪些请求是攻击者的，因为这是一个最终用户使用的合法文件——而且Netscaler只记录HTTP请求头，所以你无法从Web访问日志中知道文件日期何时被修改。
给安全研究人员的一个提示——如果你扫描互联网上的该路径并查看Last Modified响应头，你可以找到几乎肯定是仍然被后门的异常。我一直在通知组织有特定的webshell，但欢迎更多人加入这个派对。
但还有更多的攻击者活动！
还有更多，我将留待未来的博客——例如，还部署了非PHP webshell。此外，还利用了其他漏洞，稍后会详细介绍。
如何处理这些信息
我希望通过这篇博客和上一篇博客，更多的组织检查他们的系统并清除威胁行为者。
我还希望Citrix/Cloud Software Group认真考虑Netscaler——该产品在这方面有一些非常好的功能（例如带有Netscaler Connect的FIM），但我觉得现实是，在客户现场，这还没有落地。供应商可能需要查看他们在Netscaler本身上进行了哪些加固，以及需要哪些额外资源来掌控局势。
我对这种情况直言不讳：这是一个严重的威胁行为者，他们投入大量资源通过本应保护他们的产品来维持对组织的访问。这基本上是产品的生死关头，也可能是供应商煤矿中的另一个警告信号，即边界网络安全产品正在以前所未有的规模进行逆向工程和挑战。当然，这类漏洞一直在野外被利用——但获得的访问规模和深度，加上勒索软件组织在其他SSL VPN产品中获取0day，改变了我对情况的看法。需要全面提高边缘安全产品的标准，当出现问题时，我们真的需要透明度。
我还希望这对安全行业来说是一个更广泛的警钟，开始关注Netscaler，因为组织在很长一段时间内都没有意识到问题。目前看起来只有WatchTowr、Horizon3、荷兰的NCSC和我，一个卡通波格鸟，基本上在驱散这些事件。这很酷……但感觉有点孤独。