37 lines
2.5 KiB
Plaintext
37 lines
2.5 KiB
Plaintext
Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026
|
||
|
||
Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
|
||
Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.
|
||
|
||
Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
|
||
src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
|
||
/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
|
||
/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
|
||
Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
|
||
bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.
|
||
|
||
Quellen und abgeleitete Abdeckung:
|
||
Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
|
||
Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
|
||
https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
|
||
LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
|
||
https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
|
||
Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
|
||
https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
|
||
Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
|
||
https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/
|
||
|
||
Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
|
||
Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.
|
||
|
||
Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
|
||
Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
|
||
verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
|
||
externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
|
||
Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
|
||
Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
|
||
404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.
|
||
|
||
149 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
|
||
keine universelle Erkennungsrate oder vollständige Unversehrtheit.
|