[ziesell]

Citrix-Schwachstelle: Deutschland hat die meisten gehackten Netscaler-Server

Viele Citrix-Netscaler-Server sind zwar vor einer seit Juli bekannten Schwachstelle gepatcht, Angreifer haben dort aber immer noch Zugriff.



Sicherheitsforscher von Fox-IT und des Dutch Institute of Vulnerability Disclosure (DIVD) haben gemeinsam eine Hackerkampagne untersucht, mit der böswillige Akteure Webshells auf für die Sicherheitslücke CVE-2023-3519 anfälligen Citrix-Netscaler-Servern eingerichtet haben. Insgesamt seien dabei fast 2.000 Systeme infiltriert worden. Die meisten davon sollen demnach in Deutschland stationiert sein, weit dahinter folgen Frankreich und die Schweiz.

Wie aus dem Bericht der Forscher hervorgeht, sind mehr als zwei Drittel der gehackten Server inzwischen durch einen schon am 18. Juli von Citrix bereitgestellten Patch vor einer erneuten Ausnutzung der Schwachstelle geschützt. Da die jeweiligen Administratoren es jedoch versäumten, ihre Citrix-Netscaler-Systeme nach der Installation des Sicherheitsupdates auf eine potenzielle zuvor erfolgte Infiltration zu überprüfen, können die Angreifer dort nach wie vor böswilligen Code ausführen.

Europa besonders betroffen

Die Tatsache, dass die böswilligen Akteure in insgesamt 1.952 Netscaler-Server in verschiedensten Regionen der Welt eingedrungen sind, legt nahe, dass sie auf automatisierte Angriffsmethoden zurückgriffen, um die Sicherheitslücke in großem Umfang auszunutzen. Insgesamt konnten die Forscher 31.127 Systeme identifizieren, die am 21. Juli für CVE-2023-3519 anfällig waren. Folglich gelang es den Angreifern, sich auf mehr als 6 Prozent dieser Citrix-Netscaler-Server eine Backdoor einzurichten.

Europäische Server sollen von der Kampagne besonders häufig betroffen sein. "Von den 10 am stärksten betroffenen Ländern befinden sich nur 2 außerhalb Europas", so die Forscher. In Kanada, Russland und den USA habe es zwar am 21. Juli ebenfalls Tausende von anfälligen Netscaler-Systemen gegeben, jedoch konnte das Forscherteam "auf praktisch keinem" davon eine Webshell finden. Eine Erklärung für die regionalen Unterschiede fanden die Forscher jedoch nicht. Und auch eine Ausrichtung der Angreifer auf bestimmte Industriezweige konnten sie nicht feststellen.

Administratoren von Citrix-Netscaler-Servern wird nach wie vor dringend empfohlen, ihre Systeme zeitnah zu patchen und sie im Anschluss auf eine mögliche Infiltration zu untersuchen. Für Letzteres haben die Forscher auf Github ein entsprechendes Tool zur Verfügung gestellt.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]