https://cyberveille.ch/tags/whipshot/ Recent content in WHIPSHOT on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-citrix-netscaler-cve-2026-88771-a-88779-exploitees-checker-ioc-open-source-publie/ Fri, 10 Apr 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-04-10-citrix-netscaler-cve-2026-88771-a-88779-exploitees-checker-ioc-open-source-publie/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié sur GitHub (ThomasPoppelgaard/netscaler-ctx697096-checker), cet outil est un script POSIX shell en lecture seule destiné à vérifier l&rsquo;exposition et la compromission des appliances <strong>Citrix NetScaler ADC / NetScaler Gateway</strong> face aux bulletins de sécurité <strong>CTX697096</strong> (CVE-2026-88771 à CVE-2026-88778) et <strong>CTX697174</strong> (CVE-2026-88779).</p> <h2 id="-vulnérabilités-couvertes">⚠️ Vulnérabilités couvertes</h2> <ul> <li><strong>CVE-2026-88771</strong> et <strong>CVE-2026-88772</strong> : exploitées activement dans la nature, inscrites au <strong>CISA KEV catalog</strong></li> <li><strong>CVE-2026-88779</strong> (CVSS 8.7) : attaque SAML par requêtes craftées crashant les NetScalers patchés depuis le 2 octobre, dans le cadre d&rsquo;<strong>attaques ciblées</strong></li> <li>Versions corrigées pour CVE-2026-88779 : <code>14.1-73.41</code>, <code>13.1-64.28</code>, <code>14.1-73.41 FIPS</code>, <code>13.1-37.282 FIPS/NDcPP</code></li> <li>Les appliances déjà patchées pour CTX697096 doivent être <strong>mises à jour une seconde fois</strong></li> </ul> <h2 id="-fonctionnalités-du-checker-v112">🛠️ Fonctionnalités du checker (v1.12)</h2> <ul> <li>Vérification du build vs versions corrigées, détection des releases en fin de vie</li> <li>Analyse des préconditions de configuration pour chaque CVE (partitions admin incluses)</li> <li>Détection de problèmes potentiels lors de la mise à jour</li> <li>Avec <code>--ioc</code> : sweep complet des indicateurs de compromission publiés par Mandiant/GTIG, Unit 42, Arctic Wolf, watchTowr, CERT-EU, GreyNoise, Beazley Security, Elastic, PitScaler.com, etc.</li> </ul> <h2 id="-iocs-et-artefacts-de-compromission-recherchés">🚨 IoCs et artefacts de compromission recherchés</h2> <ul> <li><strong>Webshells</strong> : <code>.ctxs.receiver</code>, <code>LogonPoint/.local_journal</code>, <code>nsg64.deb</code>, <code>nsgclient18.deb</code>, code PHP obfusqué</li> <li><strong>Implants</strong> : <code>nsmon.pl</code> (Perl), agent Platypus (TENEX), SLAPSHOT (<code>slapshot.py</code>, <code>whipd.py</code>), WHIPSHOT</li> <li><strong>Fichiers suspects</strong> : <code>/.x</code>, <code>/s</code>, <code>lula</code>, <code>/var/1.py</code>, <code>update_c*.pl</code>, <code>themes/wt88771*</code>, <code>/var/tmp/.s</code>, <code>x.sh</code></li> <li><strong>Backdoor</strong> : compte <code>sec_monitor</code>, EPA default group <code>NO_AUTH</code>, <code>nsmon.pl</code> en cron</li> <li><strong>Réseau</strong> : 99 IPs attaquantes connues, domaines <code>echvista.com</code>, <code>entretiensol.com</code>, <code>white-guard.pro</code>, <code>gsocket.io</code>, <code>pylrk.cc</code>, <code>oast.fun</code>, <code>dnsl.cc</code>, <code>gs.thc.org</code>, <code>webhook.site</code>, <code>dnshook.site</code></li> <li><strong>Techniques d&rsquo;injection</strong> : fake <code>pitboss</code> messages, <code>${IFS}</code>, backticks, base64 en User-Agent, commandes FreeBSD <code>fetch</code></li> <li><strong>CVE-2019-19781</strong> (NOTROBIN) : artefacts legacy également détectés</li> </ul> <h2 id="-type-darticle">📋 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>publication d&rsquo;outil open-source</strong> accompagnée d&rsquo;une analyse technique détaillée des vulnérabilités, des techniques d&rsquo;exploitation et des indicateurs de compromission associés aux CVE-2026-88771 à CVE-2026-88779 sur Citrix NetScaler.</p>