53 lines
3.5 KiB
Plaintext
53 lines
3.5 KiB
Plaintext
Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026
|
||
|
||
Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
|
||
Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.
|
||
|
||
Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
|
||
src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
|
||
/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
|
||
/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
|
||
Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
|
||
bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.
|
||
|
||
Quellen und abgeleitete Abdeckung:
|
||
Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
|
||
Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
|
||
https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
|
||
LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
|
||
https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
|
||
Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
|
||
https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
|
||
Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
|
||
https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/
|
||
|
||
Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
|
||
Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.
|
||
|
||
Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
|
||
Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
|
||
verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
|
||
externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
|
||
Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
|
||
Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
|
||
404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.
|
||
|
||
152 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
|
||
keine universelle Erkennungsrate oder vollständige Unversehrtheit.
|
||
|
||
|
||
Ergänzung: Zehn weitere Sigma-Prüfungen und elf Inhaltsprüfungen im
|
||
Dateisystemmodus ergänzen die bisherige Abdeckung. Neu geprüft werden unter
|
||
anderem kommentierte Apache-Schutzdirektiven, Startup-Python, Core-Löschbefehle,
|
||
ungewöhnliche ACS-/WS-Federation-Felder sowie erfasste Prozess-/Open-File-Listen.
|
||
PHP/XHTML in Webverzeichnissen und SIG/DEB-Kandidaten werden als Namenshinweis
|
||
markiert. Bekannte admin_ui-Verzeichnisse und PHP unter gui/websocketd sind von
|
||
der pauschalen Namensprüfung ausgenommen, nicht von Inhalts- oder Hashprüfungen.
|
||
BLX-Konfiguration /etc/blx/nshttpd.conf wird ebenfalls erfasst.
|
||
|
||
Byte-Anomalien werden in Originalbytes geprüft; UTF-8-Ersatzzeichen in Logs
|
||
sind nur ein zusätzlicher Suchhinweis. HTTP-Fehlermuster gelten im Dateisystemmodus
|
||
nur für httperror-Dateien, nicht für Binärpakete mit ähnlichen Textfragmenten.
|
||
Private Suchindikatoren bleiben separat. Die Existenz eines Indikators in einer
|
||
zugelieferten Liste ist kein unabhängig bestätigter Malware- oder C2-Nachweis.
|