Bleeping Computer 網(wǎng)站披露在某次大規(guī)模網(wǎng)絡(luò)攻擊活動中，一名攻擊者利用被追蹤為 CVE-2023-3519 的高危遠(yuǎn)程代碼執(zhí)行漏洞，入侵了近  2000 臺 Citrix NetScaler 服務(wù)器。

研究人員表示在管理員安裝漏洞補(bǔ)丁之前已經(jīng)有 1200 多臺服務(wù)器被設(shè)置了后門，再加上沒有對漏洞是否被利用做詳細(xì)檢查，目前這些服務(wù)器仍在繼續(xù)被入侵。

利用 RCE 入侵了 6% 的易受攻擊服務(wù)器

據(jù)悉，網(wǎng)絡(luò)安全公司 Fox-IT（隸屬于 NCC 集團(tuán)）和荷蘭漏洞披露研究所 (DIVD) 的安全研究人員發(fā)現(xiàn)網(wǎng)絡(luò)攻擊者在易受 CVE-2023-3519 影響的 Citrix Netscaler 服務(wù)器上植入了 webshell，雖然在 7 月 18 日已經(jīng)有了漏洞補(bǔ)丁，但攻擊者已開始在野外將其作為零日漏洞加以利用，在未經(jīng)身份驗(yàn)證的情況下執(zhí)行任意代碼。

值得一提的是，7 月 21 日，網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）指出黑客組織利用該漏洞入侵了美國的一個(gè)關(guān)鍵基礎(chǔ)設(shè)施組織，早些時(shí)候，非營利組織 The Shadowserver Foundation 也發(fā)現(xiàn)黑客已經(jīng)感染了 640 多臺 Citrix NetScaler 服務(wù)器，并植入了用于遠(yuǎn)程訪問和持久性的后門。

過去的兩個(gè)月里，F(xiàn)ox-IT 處理了多起與 CVE-2023-3519 漏洞利用相關(guān)的安全事件，并發(fā)現(xiàn)服務(wù)器被植入了多個(gè)后門。Fox-IT 和 DIVD 在互聯(lián)網(wǎng)上掃描安裝了后門的設(shè)備，管理員通過檢查 Citrix HTTP 訪問日志中的用戶代理來識別其掃描： DIVD-2023-00033。一開始，掃描只考慮了易受攻擊的服務(wù)器系統(tǒng)，后來逐漸擴(kuò)展到了 Citrix 實(shí)例。

掃描結(jié)果顯示，1952 臺 NetScaler 服務(wù)器后門與 Fox IT 在事件響應(yīng)過程中發(fā)現(xiàn)的網(wǎng)絡(luò)外殼相同，這就表明網(wǎng)絡(luò)攻擊者大規(guī)模利用了 CVE-2023-3519 漏洞。

（來源：Fox-IT Fox-IT）

從更大的范圍來看，1952 臺被后臺屏蔽的服務(wù)器占全球 31127 臺 Citrix NetScaler 實(shí)例的 6% 以上，這些實(shí)例在攻擊活動期間易受 CVE-2023-3519 影響。

Fox-IT 指出在已發(fā)現(xiàn)的被入侵服務(wù)器中有 1828 臺在 8 月 14 日仍被屏蔽，有 1247 臺在網(wǎng)絡(luò)植入網(wǎng)絡(luò)后門后已經(jīng)打上了補(bǔ)丁。

1692175387_64dc8c1b04ab67e3f87d7.png!small?1692175386365

已打補(bǔ)丁且存在漏洞的 Citrix NetScaler （來源：Fox-IT/Fox-IT）

8 月 10 日，F(xiàn)ox-IT 和 DIVD 開始直接或通過國家 CERT 向組織機(jī)構(gòu)通報(bào)其網(wǎng)絡(luò)上受攻擊的 NetScaler 實(shí)例。

幾天前，德國的 Citrix NetScaler 服務(wù)器（包括已打補(bǔ)丁和未打補(bǔ)丁的）受到攻擊的數(shù)量最多，其次是法國和瑞士。

1692175398_64dc8c26528975e96fa07.png!small?1692175397816

存在 Citrix NetScaler 服務(wù)器后門的前 20 個(gè)國家（來源：Fox-IT Fox-IT）

Fox-IT 表示雖然受影響的 Citrix NetScaler 服務(wù)器數(shù)量正在下降，但仍有大量被入侵的實(shí)例，其中歐洲受漏洞影響最大。此外，研究人員觀察到雖然加拿大、俄羅斯和美國在 7 月 21 日有數(shù)千臺易受攻擊的 NetScaler 服務(wù)器，但幾乎沒有在其中任何一臺服務(wù)器上發(fā)現(xiàn)入侵的 Web 外殼。

最后，研究人員強(qiáng)調(diào)打了補(bǔ)丁的 NetScaler 服務(wù)器仍然可能有后門，建議管理員對其系統(tǒng)進(jìn)行基本分類。

文章來源：https://www.bleepingcomputer.com/news/security/almost-2-000-citrix-netscaler-servers-backdoored-in-hacking-campaign/