Mandiant ha lanzado un escáner que permite a las organizaciones verificar si sus dispositivos Citrix NetScaler Application Delivery Controller (ADC) o NetScaler Gateway Appliance han sido afectados por la vulnerabilidad CVE-2023-3519. Esta falla crítica fue descubierta a mediados de julio de 2023 como un Zero-Day, y los atacantes la explotaron activamente para ejecutar código remoto sin autenticación en dispositivos vulnerables.
El parche no elimina el malware
Aunque Citrix publicó actualizaciones de seguridad una semana después del descubrimiento, aún había 15.000 dispositivos expuestos a Internet que no habían aplicado los parches, según informó Shadowserver. Sin embargo, incluso tras la aplicación de las actualizaciones, el riesgo persiste, ya que el parche no elimina el malware, las puertas traseras y los webshells plantados por los atacantes en la fase posterior al compromiso.
El escáner identifica signos de compromiso
Mandiant lanzó un escáner que permite a las organizaciones examinar sus dispositivos Citrix ADC y Gateway para detectar signos de compromiso o actividad posterior a la explotación. La herramienta está diseñada para hacer un mejor esfuerzo para identificar los compromisos existentes, pero no garantiza una detección al 100% ni indica si un dispositivo es vulnerable.
El escáner debe ejecutarse directamente en un dispositivo o en una imagen forense montada. Escanea el sistema de archivos local y los archivos de configuración para detectar la presencia de varios indicadores de compromiso (IoC). Al finalizar, muestra un resumen que detalla si encontró signos de compromiso. Si se detecta un compromiso, se muestra un informe detallado con los diversos IoC identificados.
Indicadores de compromiso buscados por el escáner
A continuación se enumeran algunos de los indicadores de compromiso que busca el escáner en los dispositivos Citrix:
- Rutas del sistema de archivos que contienen archivos sospechosos: /var/netscaler/logon/LogonPoint/uiareas, /var/netscaler/logon/LogonPoint/uiareas/*/, /netscaler/ns_gui/epa/scripts/*/, /netscaler/ns_gui/vpns/theme/default, /var/vpn/themes/.
- Atacante conocido o comandos sospechosos en el historial de shell: whoami$, cat /flash/nsconfig/keys, ldapsearch, chmod +x /tmp, openssl des3, ping -c 1, cp /bin/sh, chmod +s /var, echo <?php.
- Archivos en directorios de NetScaler con contenidos que coinciden con IoC conocidos: /var/vpn/theme/.theme.php, /var/tmp/the, /var/tmp/npc, /var/tmp/conf/npc.conf, /var/tmp/conf/multi_account.conf.
- Archivos con permisos o propiedad sospechosos, como binarios setuid inusuales. Crontab files for the 'nobody' user. Historical cron jobs running as 'nobody'. Suspicious running processes running as 'nobody' or running from '/var/tmp'.
Se pueden encontrar más detalles sobre el uso de la herramienta y la interpretación de los resultados en el repositorio GitHub de Mandiant para el proyecto.
Recomendaciones tras la detección de un compromiso
Si el escáner revela signos de compromiso, se recomienda realizar un examen forense completo de los dispositivos afectados y las partes de la red para evaluar el alcance y la extensión de la infracción. Esto requiere un conjunto diferente de herramientas.
Es importante tener en cuenta que un resultado negativo no debe tomarse como garantía de que un sistema no se ha visto comprometido, ya que los atacantes aún tienen muchas formas de ocultar sus rastros y, en muchos casos, tuvieron mucho tiempo para hacerlo.
El escáner fue diseñado para usarse con Citrix ADC y Citrix Gateway versiones 12.0, 12.1, 13.0 y 13.1.