Atacantes desconocidos están explotando una falla de seguridad (CVE-2026-88772) en dispositivos Citrix NetScaler para atacar organizaciones en Norteamérica y Europa. Mediante el uso de herramientas como WHIPSHOT y SLAPSHOT, logran acceso de nivel root para ejecutar comandos, realizar reconocimiento interno y robar credenciales. Esta campaña resalta el riesgo de los dispositivos de borde, que suelen estar expuestos a internet y fuera del alcance de las herramientas de detección comunes.

Se ha observado que actores de amenazas desconocidos están explotando un fallo de seguridad recién parcheado en los dispositivos Citrix NetScaler ADC y NetScaler Gateway para atacar a organizaciones en América del Norte y Europa.

La actividad, detectada por Mandiant Consulting y el Google Threat Intelligence Group (GTIG) en septiembre de 2026, se ha dirigido a sectores gubernamentales, servicios financieros, tecnología, educación y servicios legales y profesionales.

"La explotación de la CVE-2026-88772 omite la autenticación y provoca una terminación no controlada del NetScaler Packet Processing Engine (NSPPE) para establecer un acceso inicial a nivel de root", afirmó el gigante tecnológico en su blog.

Se ha observado que los ataques utilizan este fallo para desplegar un kit de post-explotación que incluye web shells de PHP no reportadas previamente, como WHIPSHOT, capaces de camuflar cargas útiles de comando y control (C2) codificadas en Base64 dentro de cabeceras HTTP nativas.

También se utiliza un novedoso tunelizador de Python llamado SLAPSHOT, diseñado para actuar como proxy del tráfico hacia redes internas para el reconocimiento y el robo de credenciales. En al menos un caso observado por Google, se dice que el atacante retransmitió tráfico a través de este proxy para realizar manualmente el reconocimiento interno.

La CVE-2026-88772 (puntuación CVSS: 9.5) es un error de desbordamiento de memoria en el manejo del protocolo Datagram Transport Layer Security (DTLS) en el componente NSPPE.

"Durante el saludo criptográfico inicial de pre-autenticación, el NSPPE analiza las estructuras de registro DTLS entrantes", señaló Google. "El análisis de la telemetría sugiere que la transmisión de cabeceras de registro malformadas o fragmentadas induce una corrupción de los límites de la memoria heap dentro del motor de paquetes, desviando el flujo de control para ejecutar shellcode arbitrario con privilegios de sistema operativo root en la plataforma FreeBSD subyacente".

Tras una explotación exitosa, se instala automáticamente una web shell modificando los archivos httpd.conf del objetivo para manejar los archivos de formato de paquete de software Debian (.deb) como scripts PHP, allanando el camino para el despliegue de WHIPSHOT y SLAPSHOT. Esto se logra mediante el instalador inicial.

Este cambio de configuración permitió al adversario alojar web shells con extensiones de archivo engañosas en "/netscaler/gui/vpn/scripts/linux", añadió la división de ciberseguridad de Google.

En otros casos, se ha observado que el actor de amenazas implementa un gancho de configuración encubierto que disfraza la ejecución de la web shell como solicitudes de imágenes y registra archivos de firma (.sig) como scripts PHP ejecutables tras habilitar el motor mod_php.

La configuración también mapea las solicitudes HTTP entrantes que terminan en ".ico" bajo "/vpn/media/" directamente a un archivo ".sig" correspondiente con el mismo nombre base dentro de "/var/netscaler/gui/vpn/scripts/linux/".

"Por ejemplo, los clientes que accedan a /vpn/media/e6ee7c85.ico serían atendidos por la web shell PHP desplegada e6ee7c85.sig", dijo Google. "En al menos un caso, los registros de acceso del servidor web mostraron solicitudes GET que devolvían respuestas HTTP 404, pero exhibían duraciones de procesamiento elevadas y tamaños de respuesta de varios kilobytes".

"En los días siguientes, el actor intentó acceder a archivos .sig inexistentes, lo que generó errores de archivo faltante en los registros httperror-vpn, lo que implica que los archivos no estaban allí. Esto puede ser una indicación de que los atacantes gestionan web shells similares en múltiples entornos comprometidos".

La cadena de ataque progresa entonces hacia el establecimiento de una ejecución persistente a nivel de root para sus web shells, utilizando las web shells instaladoras para alterar los permisos de "/bin/sh" y, posteriormente, iniciar un reinicio completo del dispositivo NetScaler.

Las web shells ligeras de PHP, disfrazadas de archivos .deb y .sig, ofrecen ejecución directa de comandos y persistencia automatizada del dispositivo. Una de ellas es WHIPSHOT, que extrae comandos y cargas útiles codificadas en Base64 de las cabeceras HTTP, los ejecuta y devuelve los resultados.

SLAPSHOT, una herramienta de tunelización TCP escrita en Python, funciona como un puente de red interno que acepta comandos de WHIPSHOT y reenvía flujos TCP arbitrarios a hosts internos con el objetivo de facilitar el reconocimiento interno, el movimiento lateral y la recolección de credenciales.

Si no se reciben sesiones o comandos activos en 10 minutos, el malware elimina su puerto y los archivos de bloqueo, y finaliza su proceso para borrar sus huellas y minimizar los rastros forenses.

"Esta campaña subraya el objetivo continuo de los dispositivos perimetrales para obtener acceso inicial a las redes de las víctimas", afirmó Google. "Estos dispositivos —incluyendo controladores de entrega de aplicaciones, puertas de enlace VPN y firewalls— siguen siendo objetivos atractivos porque están expuestos a Internet, se encuentran fuera del alcance de las herramientas de detección y respuesta de endpoints (EDR) y a menudo almacenan o procesan credenciales que pueden usarse para profundizar en la red".

Este desarrollo llega mientras GreyNoise informaba que comenzó a ver actividad cibernética maliciosa adicional vinculada a la explotación de CVE-2026-88771 y CVE-2026-88772 a partir del 28 de septiembre de 2026.

"Lo que ayer comenzó como un reconocimiento masivo ha evolucionado ahora a una explotación masiva total a través de una multitud de actores y campañas independientes", dijo el equipo de GreyNoise. "Estamos observando el despliegue a gran escala de web shells y malware con el propósito principal de reclutamiento de botnets y corretaje de acceso".

Fuente:
THN