في عالم الأمن السيبراني، تبرز ثغرات جديدة تهدد سلامة الشبكات. في هذا المقال، نستعرض كيفية استغلال المهاجمين لثغرة NetScaler للوصول الجذري ونشر أدوات خبيثة.
استغلال المهاجمين لثغرة NetScaler للوصول الجذري
تم رصد مجموعة من المهاجمين غير المعروفين يستغلون ثغرة أمنية تم تصحيحها حديثًا في أجهزة Citrix NetScaler ADC وNetScaler Gateway لاستهداف منظمات في أمريكا الشمالية وأوروبا.
تفاصيل الهجمات
النشاط، الذي رصدته شركة Mandiant Consulting ومجموعة Google Threat Intelligence في سبتمبر 2026، استهدف قطاعات الحكومة والخدمات المالية والتكنولوجيا والتعليم والخدمات القانونية والمهنية.
“استغلال CVE-2026-88772 يتجاوز المصادقة ويؤدي إلى إنهاء غير معالج لمحرك معالجة حزم NetScaler (NSPPE) لتأسيس وصول جذري أولي،” قالت الشركة التقنية العملاقة.
تمت ملاحظة الهجمات وهي تستخدم الثغرة لنشر مجموعة أدوات ما بعد الاستغلال التي تشمل قواقع PHP غير المبلغ عنها سابقًا، مثل WHIPSHOT، القادرة على إخفاء الحمولة المشفرة Base64 ضمن رؤوس HTTP الأصلية.
الأدوات المستخدمة
كما تم استخدام أداة نفق جديدة بلغة بايثون تُدعى SLAPSHOT مصممة لتوجيه حركة المرور إلى الشبكات الداخلية لأغراض الاستطلاع وسرقة بيانات الاعتماد. في حالة واحدة على الأقل، يُقال إن المهاجم قد قام بتوجيه حركة المرور عبر هذا الوكيل لإجراء استطلاع داخلي وسرقة بيانات الاعتماد يدويًا.
كما أوضحت مختبرات watchTowr، فإن CVE-2026-88772 (درجة CVSS: 9.5) هو خطأ في تجاوز الذاكرة في بروتوكول أمان نقل بيانات Datagram (DTLS) في معالجة NSPPE.
آلية الهجوم
“خلال عملية المصافحة التشفيرية الأولية قبل المصادقة، يقوم NSPPE بتحليل هياكل سجلات DTLS الواردة،” قالت Google. “تشير تحليلات البيانات الأمامية إلى أن نقل رؤوس سجلات مشوهة أو مجزأة بشكل خاص يؤدي إلى فساد حدود الذاكرة في محرك الحزم، مما يحرف تدفق التحكم لتنفيذ شيفرة عشوائية بصلاحيات نظام تشغيل جذرية على منصة FreeBSD الأساسية.”
بعد نجاح الاستغلال، يتم تثبيت حمولة قوقعة الويب ذاتيًا عن طريق تعديل ملفات httpd.conf المستهدفة للتعامل مع تنسيق حزمة البرمجيات Debian (.deb) كبرامج PHP، مما يمهد الطريق لنشر WHIPSHOT وSLAPSHOT.
التغييرات في التكوين
هذا التغيير في التكوين جعل من الممكن للخصم إعداد قواقع الويب مع امتدادات ملفات خادعة في “/netscaler/gui/vpn/scripts/linux،” أضاف قسم الأمن السيبراني في Google.
في حالات أخرى، تم ملاحظة المهاجم وهو ينفذ خطاف تكوين سري يخفي تنفيذ قواقع الويب كطلبات صور ويسجل ملفات التوقيع (.sig) كبرامج PHP قابلة للتنفيذ بعد تمكين محرك mod_php.
كما يقوم التكوين بتوجيه الطلبات الواردة HTTP التي تنتهي بـ “.ico” تحت “/vpn/media/” مباشرة إلى ملف “.sig” المقابل بنفس الاسم الأساسي داخل “/var/netscaler/gui/vpn/scripts/linux/.”
تطور الهجوم
“على سبيل المثال، العملاء الذين يصلون إلى /vpn/media/e6ee7c85.ico سيتم تقديمهم من خلال قوقعة الويب PHP التي تم إسقاطها e6ee7c85.sig،” قالت Google. “في حالة واحدة على الأقل، أظهرت سجلات وصول خادم الويب طلبات GET التي تعود باستجابات HTTP 404، ولكنها تظهر فترات معالجة مرتفعة وأحجام استجابة متعددة الكيلوبايت.”
“في الأيام التالية، حاول المهاجم الوصول إلى ملفات .sig غير الموجودة، مما أدى إلى أخطاء ملفات مفقودة في سجلات httperror-vpn مما يوحي بأن الملفات لم تكن موجودة. قد يكون هذا مؤشرًا على أن المهاجمين يديرون قواقع ويب مماثلة في بيئات مخترقة متعددة.”
تتقدم سلسلة الهجوم بعد ذلك إلى إنشاء تنفيذ جذري دائم لقواقع الويب الخاصة بها من خلال الاستفادة من قواقع الويب المثبتة لتغيير أذونات “/bin/sh،” ثم بدء إعادة تشغيل كاملة لجهاز NetScaler.
تقدم قواقع الويب PHP الخفيفة، التي تم تنسيقها كملفات .deb و.sig، تنفيذ الأوامر المباشرة واستمرارية الأجهزة الآلية. واحدة من هذه القواقع هي WHIPSHOT، التي تستخرج الأوامر والحمولات المشفرة Base64 من رؤوس HTTP، وتنفيذها، وإرجاع النتائج.
SLAPSHOT، أداة نفق TCP مكتوبة بلغة بايثون، تعمل كجسر شبكة داخلية تقبل الأوامر من WHIPSHOT وتوجه تدفقات TCP عشوائية إلى المضيفين الداخليين بهدف تسهيل الاستطلاع الداخلي، والحركة الجانبية، وسرقة بيانات الاعتماد.
إذا لم يتم تلقي أي جلسات أو أوامر نشطة خلال 10 دقائق، يقوم البرمجيات الخبيثة بإزالة ملفات المنفذ والقفل، وإنهاء عمليتها لتغطية آثارها وتقليل الأدلة الجنائية.
“تسلط هذه الحملة الضوء على الاستهداف المستمر للأجهزة الطرفية للحصول على وصول أولي إلى شبكات الضحايا،” قالت Google. “تظل هذه الأجهزة—بما في ذلك وحدات التحكم في تسليم التطبيقات، وبوابات VPN، وجدران الحماية—أهدافًا جذابة لأنها مكشوفة على الإنترنت، وتقع خارج نطاق أدوات الكشف والاستجابة للنقاط النهائية (EDR)، وغالبًا ما تخزن أو تعالج بيانات الاعتماد التي يمكن استخدامها للتحرك أعمق في الشبكة.”
تأتي هذه التطورات في الوقت الذي قالت فيه GreyNoise إنها بدأت ترى نشاطًا سيبرانيًا خبيثًا إضافيًا مرتبطًا باستغلال CVE-2026-88771 وCVE-2026-88772 بدءًا من 28 سبتمبر 2026، حوالي الساعة 8:30 صباحًا بتوقيت شرق الولايات المتحدة، تلاها زيادة كبيرة في نفس اليوم حوالي الساعة 10:30 مساءً بتوقيت شرق الولايات المتحدة.
“ما بدأ كاستطلاع جماعي بالأمس تطور الآن إلى استغلال جماعي كامل عبر مجموعة من الفاعلين والحملات المستقلة،” قال فريق GreyNoise لـ The Hacker News. “نحن نراقب نشر واسع النطاق لقواقع الويب والبرمجيات الخبيثة لأغراض رئيسية تتعلق بتجنيد الروبوتات وتوسيع الوصول.”
تؤكد هذه الحملة على أهمية تأمين الأجهزة الطرفية في الشبكات، وتسلط الضوء على الحاجة إلى استراتيجيات أمان متقدمة لمواجهة التهديدات المتزايدة.
