大規模Citrix NetScalerスキャンキャンペーンが住宅用プロキシを悪用

Citrix NetScalerを標的とした大規模スキャンキャンペーンを検出

セキュリティ研究者らは、過去1週間にわたりCitrix NetScalerインフラを標的とした大規模な偵察キャンペーンを確認した。この攻撃活動は、数万台の住宅用プロキシを活用し、露出したログインパネルを発見することを目的としており、より攻撃的な攻撃の前兆である可能性がある。

技術的詳細

このキャンペーンは高度に組織化されており、住宅用IPアドレスの分散ネットワークを利用して検出を回避し、従来のセキュリティ対策を迂回している。住宅用プロキシは、正規の家庭用インターネット接続を経由してトラフィックをルーティングするため、IPレピュテーションのみに基づいて悪意のある活動をブロックすることを著しく困難にする。

キャンペーンの背後にいる正確な脅威アクターは特定されていないが、その規模と洗練度から、攻撃前の偵察フェーズである可能性が示唆されている。同様の手法は過去のインシデントでも観測されており、初期のスキャンに続いて脆弱性の悪用（例：CVE-2023-3519、Citrix NetScaler ADCおよびGatewayにおける重大なリモートコード実行の脆弱性）が行われている。

影響分析

このキャンペーンで住宅用プロキシが使用されていることは、脅威アクターが起点を隠蔽し、帰属を複雑化する傾向が高まっていることを浮き彫りにしている。Citrix NetScaler ADCまたはGatewayを運用している組織は特に警戒が必要だ。露出したログインパネルは、以下のような攻撃の足がかりとなる可能性がある。

• クレデンシャルスタッフィング攻撃
• 未修正の脆弱性の悪用
• ネットワーク内での横方向移動

防御側への推奨事項

セキュリティチームは、リスクを軽減するために以下の対策を講じることを推奨する。

1. NetScalerのデプロイメントを監査

   • ログインパネルが不要にインターネットに露出していないか確認する。
   • 可能な場合は、管理アクセスにIPホワイトリストを実装する。

2. 監視の強化

   • 不審なログイン試行やスキャン活動を特定するために、異常検知を導入する。
   • 住宅用IPレンジからの接続を監視し、プロキシベースの攻撃を示唆する兆候を把握する。

3. 即時のパッチ適用

   • Citrix NetScalerシステムを最新のファームウェアに更新し、既知の脆弱性（例：CVE-2023-3519）に対処する。

4. 認証の強化

   • すべての管理アクセスに**多要素認証（MFA）**を強制する。
   • 高権限アカウントのクレデンシャルを定期的にローテーションする。

5. ネットワークセグメンテーションの見直し

   • 重要インフラを分離し、侵害時の影響を最小限に抑える。

結論

このキャンペーンは、プロアクティブな脅威検知と多層防御戦略の重要性を改めて示している。脅威アクターが戦術を進化させる中、セキュリティチームは可視性、パッチ管理、アクセス制御を優先し、新たな脅威に先手を打つ必要がある。

最新情報については、脅威インテリジェンスソースおよびCitrixのセキュリティアドバイザリをフォローしてください。