Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026

Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.

Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.

Quellen und abgeleitete Abdeckung:
Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/

Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.

Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.

149 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
keine universelle Erkennungsrate oder vollständige Unversehrtheit.