Se detectó una campaña de reconocimiento a gran escala dirigida a la infraestructura de Citrix ADC Gateway y NetScaler Gateway entre el 28 de enero y el 2 de febrero de 2026, por parte de la GreyNoise Global Observation Grid.

La operación coordinada combinó la rotación de proxies residenciales para descubrir paneles de inicio de sesión con escaneos concentrados de divulgación de versiones alojados en AWS, generando más de 111,834 sesiones desde más de 63,000 direcciones IP únicas.

La campaña demuestra capacidades sofisticadas de mapeo de infraestructura, logrando una tasa de focalización del 79% contra honeypots de Citrix Gateway, superando significativamente el ruido de escaneo base e indicando un reconocimiento deliberado en lugar de un rastreo oportunista.

Los actores de amenazas operaron dos modos de ataque complementarios simultáneamente, lo que sugiere una preparación coordinada para actividades de explotación dirigidas a vulnerabilidades conocidas de Citrix.

La operación de reconocimiento se dividió en dos campañas distintas pero coordinadas, con objetivos e infraestructuras diferentes. El modo de descubrimiento de paneles de inicio de sesión generó 109,942 sesiones desde 63,189 IPs de origen, distribuidas en redes de proxies residenciales e infraestructura de Azure, apuntando específicamente al endpoint /logon/LogonPoint/index.html.

En contraste, la campaña de divulgación de versiones produjo 1,892 sesiones desde solo 10 direcciones IP de AWS concentradas en las regiones us-west-1 y us-west-2, enfocándose en la ruta del archivo /epa/scripts/win/nsepa_setup.exe.

Ambas campañas se activaron simultáneamente justo antes del 1 de febrero y se dirigieron exclusivamente a la infraestructura de Citrix, con los objetivos complementarios de descubrir paneles de inicio de sesión expuestos y enumerar versiones de software.

Escaneos activos en busca de paneles de inicio de sesión de Citrix NetScaler

Este enfoque de doble vertiente refleja tácticas observadas en campañas anteriores de explotación de Citrix, donde los atacantes mapearon instancias vulnerables antes de desplegar exploits.

Una sola dirección IP de Microsoft Azure Canadá (52.139.3[.]76) generó 39,461 sesiones, representando el 36% de todo el tráfico de paneles de inicio de sesión, utilizando el string de agente de usuario Prometheus blackbox-exporter.

Aunque este agente de usuario puede ser falsificado y es fácilmente detectable, el resto del tráfico provino de redes residenciales de ISP en Vietnam, Argentina, México, Argelia, Irak y numerosos otros países, con cada IP realizando solo una sesión.

Esta técnica de rotación de proxies residenciales emplea huellas digitales únicas de navegador para cada conexión, permitiendo un ciclo continuo tanto de direcciones IP como de strings de agente de usuario.

Estas direcciones legítimas de ISP de consumo evitan los bloqueos geográficos y los sistemas de filtrado por reputación, ya que las organizaciones son reacias a bloquear tráfico potencial de clientes.

La naturaleza distribuida hace que la detección y mitigación sean significativamente más difíciles que en las campañas de escaneo tradicionales.

El componente de divulgación de versiones ejecutó un sprint de escaneo concentrado de seis horas el 1 de febrero, con 10 direcciones IP de AWS enviando 1,892 solicitudes dirigidas al archivo de configuración de Análisis de Punto Final (EPA) de Citrix.

La campaña alcanzó su punto máximo a las 02:00 UTC con 362 sesiones, comenzando a las 00:00 UTC con 192 sesiones y concluyendo a las 05:00 UTC con 283 sesiones. Las 10 IPs de origen utilizaron un agente de usuario idéntico de Chrome 50 de 2016 y compartieron características uniformes de huella HTTP.

El inicio y finalización rápidos de este sprint de escaneo sugieren un evento desencadenante, potencialmente tras el descubrimiento de configuraciones EPA vulnerables o inteligencia sobre ventanas de despliegue específicas.

El enfoque en archivos específicos de versiones sugiere interés en explotar o validar vulnerabilidades contra debilidades conocidas de Citrix ADC y NetScaler Gateway, incluyendo vulnerabilidades críticas recientes como CVE-2025-5777 (Citrix Bleed 2).

El análisis de la capa TCP reveló una separación clara de infraestructura entre los tres componentes del ataque. El escáner dominante de Azure mostró encapsulación anidada de VPN/túnel con un tamaño máximo de segmento (MSS) reducido en 62 bytes por debajo del estándar, demostrando que los operadores enrutaron el tráfico de escaneo a través de una capa de red adicional por seguridad operativa.

El tráfico distribuido de proxies residenciales exhibió características de pila TCP de Windows con tamaños máximos de ventana de 16 bits, enrutados a través de infraestructura de proxy basada en Linux, lo que indica clientes Windows conectándose a través de servidores proxy Linux.

Los escáneres de versiones de AWS mostraron valores MSS de jumbo frames 45 veces más grandes que el estándar de Ethernet, requiriendo infraestructura de conmutación de centros de datos con soporte MTU de más de 9,000 bytes, físicamente imposible en redes de consumo.

A pesar de estos diferentes tipos de infraestructura, todas las huellas compartieron un orden idéntico de opciones TCP, lo que indica herramientas o marcos comunes bajo la compartimentación operativa. Esto sugiere un solo actor de amenazas o grupo coordinado utilizando infraestructura de escaneo modular adaptada para diferentes objetivos de reconocimiento.

Esta actividad de reconocimiento probablemente representa un mapeo de infraestructura previo a intentos de explotación activos. El enfoque específico en la ruta del archivo de configuración EPA sugiere interés en el desarrollo de exploits específicos para versiones o la validación de vulnerabilidades contra debilidades conocidas de Citrix ADC, particularmente vulnerabilidades críticas recientes que permiten eludir la autenticación y la ejecución remota de código.

Las organizaciones deben implementar medidas inmediatas de detección y defensa, incluyendo el monitoreo de agentes de usuario blackbox-exporter desde fuentes no autorizadas, alertas sobre acceso externo a /epa/scripts/win/nsepa_setup.exe y la identificación de patrones rápidos de enumeración de /logon/LogonPoint/. Otros indicadores incluyen solicitudes HEAD a endpoints de Citrix Gateway y huellas de navegador obsoletas como Chrome 50 de 2016.

Las recomendaciones defensivas incluyen revisar la exposición externa de Citrix Gateway para validar la necesidad empresarial de despliegues accesibles desde Internet, implementar requisitos de autenticación para el directorio /epa/scripts/ y configurar los Citrix Gateways para suprimir la divulgación de versiones en las respuestas HTTP. Las organizaciones también deben marcar anomalías de acceso desde ISP residenciales en regiones geográficas inesperadas.

Indicadores de compromiso

Campaña de divulgación de versiones (Infraestructura AWS):

• 44.251.121[.]190
• 13.57.253[.]3
• 50.18.232[.]85
• 52.36.139[.]223
• 54.201.20[.]56
• 54.153.0[.]164
• 54.176.178[.]13
• 18.237.26[.]188
• 54.219.42[.]163
• 18.246.164[.]162

Descubrimiento de paneles de inicio de sesión (Infraestructura Azure):

• 52.139.3[.]76

Las organizaciones que operan infraestructura de Citrix ADC Gateway o NetScaler Gateway deben revisar inmediatamente los registros de acceso en busca de conexiones desde estas direcciones IP e implementar un monitoreo mejorado para patrones similares de reconocimiento.