2026-10-05 14:13:39 +02:00
|
|
|
|
Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026
|
|
|
|
|
|
|
|
|
|
|
|
Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
|
|
|
|
|
|
Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.
|
|
|
|
|
|
|
|
|
|
|
|
Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
|
|
|
|
|
|
src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
|
|
|
|
|
|
/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
|
|
|
|
|
|
/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
|
|
|
|
|
|
Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
|
|
|
|
|
|
bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.
|
|
|
|
|
|
|
|
|
|
|
|
Quellen und abgeleitete Abdeckung:
|
|
|
|
|
|
Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
|
|
|
|
|
|
Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
|
|
|
|
|
|
https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
|
|
|
|
|
|
LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
|
|
|
|
|
|
https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
|
|
|
|
|
|
Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
|
|
|
|
|
|
https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
|
|
|
|
|
|
Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
|
|
|
|
|
|
https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/
|
|
|
|
|
|
|
|
|
|
|
|
Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
|
|
|
|
|
|
Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.
|
|
|
|
|
|
|
|
|
|
|
|
Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
|
|
|
|
|
|
Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
|
|
|
|
|
|
verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
|
|
|
|
|
|
externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
|
|
|
|
|
|
Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
|
|
|
|
|
|
Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
|
|
|
|
|
|
404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.
|
|
|
|
|
|
|
2026-10-05 16:18:18 +02:00
|
|
|
|
152 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
|
2026-10-05 14:13:39 +02:00
|
|
|
|
keine universelle Erkennungsrate oder vollständige Unversehrtheit.
|
2026-10-05 16:18:18 +02:00
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Ergänzung: Zehn weitere Sigma-Prüfungen und elf Inhaltsprüfungen im
|
|
|
|
|
|
Dateisystemmodus ergänzen die bisherige Abdeckung. Neu geprüft werden unter
|
|
|
|
|
|
anderem kommentierte Apache-Schutzdirektiven, Startup-Python, Core-Löschbefehle,
|
|
|
|
|
|
ungewöhnliche ACS-/WS-Federation-Felder sowie erfasste Prozess-/Open-File-Listen.
|
|
|
|
|
|
PHP/XHTML in Webverzeichnissen und SIG/DEB-Kandidaten werden als Namenshinweis
|
|
|
|
|
|
markiert. Bekannte admin_ui-Verzeichnisse und PHP unter gui/websocketd sind von
|
|
|
|
|
|
der pauschalen Namensprüfung ausgenommen, nicht von Inhalts- oder Hashprüfungen.
|
|
|
|
|
|
BLX-Konfiguration /etc/blx/nshttpd.conf wird ebenfalls erfasst.
|
|
|
|
|
|
|
|
|
|
|
|
Byte-Anomalien werden in Originalbytes geprüft; UTF-8-Ersatzzeichen in Logs
|
|
|
|
|
|
sind nur ein zusätzlicher Suchhinweis. HTTP-Fehlermuster gelten im Dateisystemmodus
|
|
|
|
|
|
nur für httperror-Dateien, nicht für Binärpakete mit ähnlichen Textfragmenten.
|
|
|
|
|
|
Private Suchindikatoren bleiben separat. Die Existenz eines Indikators in einer
|
|
|
|
|
|
zugelieferten Liste ist kein unabhängig bestätigter Malware- oder C2-Nachweis.
|
