Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026

Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.

Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.

Quellen und abgeleitete Abdeckung:
Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/

Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.

Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.

152 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
keine universelle Erkennungsrate oder vollständige Unversehrtheit.


Ergänzung: Zehn weitere Sigma-Prüfungen und elf Inhaltsprüfungen im
Dateisystemmodus ergänzen die bisherige Abdeckung. Neu geprüft werden unter
anderem kommentierte Apache-Schutzdirektiven, Startup-Python, Core-Löschbefehle,
ungewöhnliche ACS-/WS-Federation-Felder sowie erfasste Prozess-/Open-File-Listen.
PHP/XHTML in Webverzeichnissen und SIG/DEB-Kandidaten werden als Namenshinweis
markiert. Bekannte admin_ui-Verzeichnisse und PHP unter gui/websocketd sind von
der pauschalen Namensprüfung ausgenommen, nicht von Inhalts- oder Hashprüfungen.
BLX-Konfiguration /etc/blx/nshttpd.conf wird ebenfalls erfasst.

Byte-Anomalien werden in Originalbytes geprüft; UTF-8-Ersatzzeichen in Logs
sind nur ein zusätzlicher Suchhinweis. HTTP-Fehlermuster gelten im Dateisystemmodus
nur für httperror-Dateien, nicht für Binärpakete mit ähnlichen Textfragmenten.
Private Suchindikatoren bleiben separat. Die Existenz eines Indikators in einer
zugelieferten Liste ist kein unabhängig bestätigter Malware- oder C2-Nachweis.