【安全资讯】Citrix零日漏洞遭利用：定制恶意软件攻击政府、银行及专业服务行业

概要：

近期，Citrix NetScaler ADC与Gateway设备中被披露的两个严重零日漏洞（CVE-2026-88771与CVE-2026-88772）正被未知攻击者积极利用。攻击目标涵盖北美与欧洲的政府机构、金融服务、教育、法律及专业服务行业。攻击者使用定制恶意软件建立持久化访问并窃取凭证，而Citrix被指延迟披露漏洞，引发安全界担忧。

主要内容：

Citrix于周日披露了8个CVE，其中CVE-2026-88771和CVE-2026-88772均获9.5分严重评级。前者允许未认证攻击者远程执行任意命令，后者为内存溢出漏洞，在默认启用DTLS的VPN虚拟服务器上可导致远程代码执行或拒绝服务。GreyNoise于9月24日发现针对NetScaler Gateway的利用尝试，Google则称攻击活动至少自9月初已开始。

攻击者使用了定制恶意软件：WHIPSHOT是一个伪装成Debian包的PHP Web Shell，将Base64编码的C&C载荷隐藏在原生HTTP头中；SLAPSHOT是一个Python编写的TCP隧道工具，接受WHIPSHOT指令并将任意TCP流转发至内部主机。支持的命令包括open、push、pull、exch、close和ping。至少在一次入侵中，攻击者通过该代理进行内部侦察和凭证窃取。

Google威胁情报团队指出，北美和欧洲的政府、金融、教育、法律及专业服务组织可能受影响。目前无公开归因，但历史上NetScaler漏洞曾被国家支持组织和勒索软件运营商利用。Mandiant建议用户在打补丁前先检查系统是否已被入侵，因为仅打补丁可能无法清除威胁。