Масштабная кампания сканирования Citrix NetScaler с использованием резидентных прокси

Обнаружена скоординированная кампания сканирования Citrix NetScaler

За последнюю неделю специалисты по кибербезопасности выявили крупномасштабную разведывательную кампанию, нацеленную на инфраструктуру Citrix NetScaler. Операция, в которой задействованы десятки тысяч резидентных прокси, направлена на поиск открытых панелей входа в систему, что может предшествовать более агрессивным атакам.

Технические детали

Кампания отличается высокой организованностью и использует распределённую сеть резидентных IP-адресов, чтобы избежать обнаружения и обойти традиционные меры безопасности. Резидентные прокси, маршрутизирующие трафик через легитимные домашние интернет-соединения, значительно усложняют блокировку вредоносной активности на основе репутации IP-адресов.

Хотя точная принадлежность угрозы остаётся неустановленной, масштаб и уровень подготовки кампании указывают на этап предварительной разведки перед атакой. Подобные тактики наблюдались в прошлых инцидентах, когда первоначальное сканирование предшествовало эксплуатации уязвимостей (например, CVE-2023-3519 — критической уязвимости удалённого выполнения кода в Citrix NetScaler ADC и Gateway).

Анализ воздействия

Использование резидентных прокси в этой кампании демонстрирует растущую тенденцию среди киберпреступников к маскировке источников атак и усложнению атрибуции. Организациям, использующим Citrix NetScaler ADC или Gateway, следует проявить особую бдительность, так как открытые панели входа могут служить точками входа для:

• Атак с подбором учётных данных (credential stuffing)
• Эксплуатации незакрытых уязвимостей
• Перемещения по сети (lateral movement)

Рекомендации для специалистов по безопасности

Эксперты советуют принять следующие меры для снижения рисков:

1. Аудит развёртываний NetScaler

   • Убедитесь, что панели входа не выставлены в интернет без необходимости.
   • Внедрите белые списки IP-адресов для административного доступа, где это возможно.

2. Усиление мониторинга

   • Разверните системы обнаружения аномалий для выявления подозрительных попыток входа или сканирования.
   • Отслеживайте подключения из диапазонов резидентных IP-адресов, которые могут указывать на атаки с использованием прокси.

3. Немедленное применение патчей

   • Обновите все системы Citrix NetScaler до последней версии прошивки, чтобы устранить известные уязвимости, включая CVE-2023-3519.

4. Укрепление аутентификации

   • Внедрите многофакторную аутентификацию (MFA) для всех административных доступов.
   • Регулярно меняйте учётные данные, особенно для привилегированных аккаунтов.

5. Проверка сегментации сети

   • Изолируйте критически важную инфраструктуру, чтобы ограничить потенциальный ущерб от взлома.

Заключение

Эта кампания подчёркивает важность проактивного обнаружения угроз и многоуровневых стратегий защиты для организаций, использующих Citrix NetScaler. Поскольку киберпреступники продолжают совершенствовать свои тактики, специалистам по безопасности необходимо уделять приоритетное внимание видимости угроз, управлению патчами и контролю доступа, чтобы опережать новые угрозы.

Следите за обновлениями от источников threat intelligence и бюллетеней безопасности Citrix.