Los dispositivos Citrix Netscaler han sido identificados como el último objetivo de ataques generalizados de password spray, también conocidos como «rociado de contraseñas», que buscan vulnerar las redes corporativas. Estos ataques, que se han intensificado este año, están dirigidos a dispositivos de redes perimetrales y plataformas en la nube.
Ataques previos a Citrix Netscaler
En marzo, Cisco alertó sobre ataques de rociado de contraseñas que afectaban sus dispositivos VPN. En algunos casos, estos ataques provocaron un estado de denegación de servicio (DoS), lo que permitió a la empresa identificar una vulnerabilidad DDoS y resolverla en octubre.
En octubre, Microsoft advirtió sobre el uso de la botnet Quad7 para realizar ataques de rociado de contraseñas contra dispositivos de red como TP-Link, Asus, Ruckus, Axentra y Zyxel. Estos ataques se dirigían a servicios en la nube.
Alerta de la BSI sobre Citrix Netscaler
Esta semana, la agencia alemana de ciberseguridad BSI alertó sobre informes de que los dispositivos Citrix Netscaler son ahora el objetivo principal de ataques de rociado de contraseñas. La BSI indicó que está recibiendo cada vez más informes de ataques de fuerza bruta contra las puertas de enlace de Citrix Netscaler, provenientes de varios sectores y socios internacionales.
Información de Born City
La semana pasada, Born City fue el primero en informar sobre los ataques. Según sus lectores, se habían experimentado intentos de rociado de contraseñas contra dispositivos Citrix Netscaler desde noviembre y durante diciembre.
Nombres de usuario utilizados
Algunos de los nombres de usuario que aparecieron en los ataques incluyen:
- test, testuser1, veeam, sqlservice, scan, ldap, postmaster, vpn, fortinet, confluence, vpntest, stage, xerox, svcscan, finance, sales
Otras identificaciones incluyen nombres de pila, apellidos y direcciones de correo electrónico.
Respuesta de Citrix
Citrix publicó un boletín de seguridad advirtiendo sobre el aumento de los ataques de rociado de contraseñas en dispositivos Netscaler. La empresa destacó que estos ataques se originan desde una amplia gama de direcciones IP, lo que dificulta su bloqueo mediante restricciones de IP o limitación de velocidad.
Además, Citrix alertó sobre el riesgo de saturar los dispositivos Netscaler con una oleada repentina y grande de solicitudes de autenticación. Esto puede generar un aumento en los registros y afectar la disponibilidad o rendimiento de los dispositivos.
Mitigaciones recomendadas
Citrix ofreció varias medidas para reducir el impacto de estos ataques, entre ellas:
- Asegurarse de que la autenticación multifactor esté configurada antes del factor LDAP.
- Crear una política de respuesta que descarte las solicitudes de autenticación a menos que se dirijan a un nombre de dominio completo (FQDN) específico.
- Bloquear los puntos finales de Netscaler asociados con solicitudes anteriores a nFactor, salvo que sean necesarios para el entorno. Utilizar el firewall de aplicaciones web (WAF) para bloquear direcciones IP con una reputación baja causada por comportamiento malicioso previo.
- Los clientes que utilizan Gateway Service no necesitan aplicar estas mitigaciones, ya que solo son para dispositivos NetScaler/NetScaler Gateway implementados en instalaciones o nube.
Citrix indicó que las mitigaciones están disponibles únicamente para versiones de firmware de NetScaler mayores o iguales a 13.0.