Nieuws
image

Criminelen installeren script op Citrix NetScalers om inloggegevens te stelen

maandag 9 oktober 2023, 17:13 door Redactie, 8 reacties
Laatst bijgewerkt: 10-10-2023, 09:04

Criminelen maken gebruik van een kwetsbaarheid in Citrix NetScalers om een script op de apparaten te installeren waarmee ze inloggegevens van gebruikers kunnen stelen, zo waarschuwt IBM Security X-Force, dat stelt dat honderden NetScalers getroffen zijn. Het beveiligingslek in NetScaler ADC (voorheen Citrix ADC) en NetScaler Gateway (voorheen Citrix Gateway) laat een aanvaller willekeurige code op de server uitvoeren.

Citrix ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. De luxere versies bieden ook bescherming tegen dos-aanvallen en een webapplicatiefirewall.

Via de Citrix Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. Waarbij de Citrix ADC een apart apparaat is, is de Gateway een softwareoplossing die organisaties op een server moeten installeren.

Citrix kwam op 18 juli met beveiligingsupdates voor de kwetsbaarheid, aangeduid als CVE-2023-3519. Op dat moment werd er al actief misbruik van het lek gemaakt. Via het beveiligingslek installeren de aanvallers een webshell, waarmee ze toegang tot de server behouden en verdere aanvallen kunnen uitvoeren. Volgens onderzoekers waren op het moment van de aanvallen 31.000 Citrix NetScalers kwetsbaar voor CVE-2023-3519. In augustus werd gemeld dat ruim 1800 NetScalers nog met een webshell besmet waren.

In september ontdekte X-Force een campagne waarbij aanvallers het beveiligingslek misbruiken om een script op de inlogpagina van kwetsbare apparaten te installeren dat de inloggegevens van gebruikers steelt. De onderzoekers van IBM wisten de command & control-server van de aanvallers te identificeren. Aan de hand daarvan werden bijna zeshonderd ip-adressen van getroffen NetScalers gevonden waarvan de inlogpagina was aangepast. Het gaat vooral om NetScalers in Europa en de Verenigde Staten. De eerste aangepaste inlogpagina's dateren van 11 augustus.

Reacties (8)
Reageer met quote
09-10-2023, 17:41 door Anoniem
Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Reageer met quote
10-10-2023, 10:10 door Anoniem
Door Anoniem: Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Aha victim blaming! Als jij al vanaf 18 juli geen tralies voor je ramen hebt dan verdien je het dat iemand er een baksteen doorheen gooit en al je spullen steelt.
Reageer met quote
10-10-2023, 10:56 door Anoniem
Door Anoniem:
Door Anoniem: Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Aha victim blaming! Als jij al vanaf 18 juli geen tralies voor je ramen hebt dan verdien je het dat iemand er een baksteen doorheen gooit en al je spullen steelt.
Door Anoniem:
Door Anoniem: Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Aha victim blaming! Als jij al vanaf 18 juli geen tralies voor je ramen hebt dan verdien je het dat iemand er een baksteen doorheen gooit en al je spullen steelt.
Nee.... Als jij een security update niet installeert, waarbij de Security update een CVE van > 9.8 op een schaal van 10 heeft.

Ik zou dit dan eerder vergelijke dat je een laptop gewoon ergens op straat laat liggen in een achterbuurt, en dan verbaast bent, dat deze ineens weg is als je terug komt.

Als je als admin een 9.8 security update, op de schaal van 10 mist op een publicly internet Interface facing dienst, voor meer bijna 3 maanden dan ben je ongeschikt als beheerder.

Dit kun je dan niet meer op "victim blaming" gooien, dit is dan gewoon dom en er om vragen.
Reageer met quote
10-10-2023, 11:28 door Anoniem
Door Anoniem:
Door Anoniem: Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Aha victim blaming! Als jij al vanaf 18 juli geen tralies voor je ramen hebt dan verdien je het dat iemand er een baksteen doorheen gooit en al je spullen steelt.
Dat is de standaard reactie van de fanclub die de beheerder altijd de schuld geeft. Doorgaans is het juist de beheerder die snel wil patchen maar de organisatie nog ff niet.
Reageer met quote
10-10-2023, 13:29 door Anoniem
Door Anoniem:
Door Anoniem: Als je vanaf 18 juli deze patch nog steeds niet geïnstalleerd hebt, dan verdien je dit eigenlijk.
Aha victim blaming! Als jij al vanaf 18 juli geen tralies voor je ramen hebt dan verdien je het dat iemand er een baksteen doorheen gooit en al je spullen steelt.
Niet lullen maar patchen
Reageer met quote
10-10-2023, 17:42 door Anoniem
De enige oplossing voor de enterprise backend is, m.i. - geen public facing infra meer hebben. Alles achter reverse proxy/Microsoft Application Proxy (AAP) (heet nu Microsoft Entra application proxy) of achter VPN. Helaas.
Reageer met quote
10-10-2023, 22:01 door Anoniem
Door Anoniem: De enige oplossing voor de enterprise backend is, m.i. - geen public facing infra meer hebben. Alles achter reverse proxy/Microsoft Application Proxy (AAP) (heet nu Microsoft Entra application proxy) of achter VPN. Helaas.

Je begrijpt dat de Citrix NetScaler juist zo'n product is? Het is een Reverse proxy, VPN, Application Proxy, load balancer.
Het is gemaakt om Internetdiensten veilig aan te bieden.

Maar geen Product is 100% veilig.

F5 loadbalancers hebben hun issues gehad, diverse leveranciers VPN servers hebben hun issue gehad.
Reageer met quote
11-10-2023, 10:38 door Anoniem
Door Anoniem: De enige oplossing voor de enterprise backend is, m.i. - geen public facing infra meer hebben. Alles achter reverse proxy/Microsoft Application Proxy (AAP) (heet nu Microsoft Entra application proxy) of achter VPN. Helaas.
Nou dat is slim zeg. Dan heb je elke maand een probleem.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search