Due 0day, un solo attacco: il colpo perfetto contro Citrix e Cisco. La scoperta di Amazon

Redazione RHC : 13 Novembre 2025 13:45

Amazon ha segnalato un complesso attacco informatico in cui gli aggressori hanno sfruttato simultaneamente due vulnerabilità zero-day, presenti nei prodotti Citrix e Cisco. Secondo il responsabile della sicurezza informatica dell’azienda, CJ Moses, un gruppo sconosciuto ha ottenuto l’accesso ai sistemi sfruttando le falle prima che fossero rese pubbliche e ha distribuito malware personalizzato.

L’incidente è stato rilevato dalla rete honeypot MadPot di Amazon. Sono stati rilevati tentativi di sfruttare la vulnerabilità CVE-2025-5777 in Citrix NetScaler ADC e NetScaler Gateway, un errore di lettura fuori dai limiti.

Questa vulnerabilità consentiva a un aggressore di leggere da remoto il contenuto della memoria del dispositivo e di ottenere dati sensibili della sessione. La vulnerabilità è stata denominata ufficiosamente CitrixBleed 2, in onore di un bug precedente che consentiva agli hacker di rubare i token di autenticazione degli utenti.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Citrix ha pubblicato una patch il 17 giugno, ma ulteriori osservazioni hanno dimostrato che l’exploit era stato utilizzato attivamente anche prima del rilascio della patch. All’inizio di luglio, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti e ricercatori indipendenti hanno confermato lo sfruttamento della vulnerabilità, che ha consentito il dirottamento delle sessioni utente.

Mentre i ricercatori di Amazon analizzavano l’attacco a Citrix, hanno scoperto un altro componente dannoso che prendeva di mira Cisco Identity Services Engine. Si è scoperto che sfruttava un endpoint di rete precedentemente non descritto, vulnerabile a un errore di deserializzazione dei dati. Queste informazioni sono state condivise con Cisco, e le aziende hanno successivamente assegnato al bug l’identificatore CVE-2025-20337.

Questa seconda vulnerabilità ha ricevuto il punteggio massimo di gravità di 10 sulla scala CVSS. Ha consentito ad aggressori remoti e non autorizzati di eseguire codice arbitrario sul server con privilegi di root. Secondo Moses, ciò che è stato particolarmente allarmante è stato il fatto che gli attacchi siano iniziati prima che Cisco documentasse ufficialmente la vulnerabilità e rilasciasse aggiornamenti completi. Questo “sfruttamento della finestra di patch” è considerato una tecnica tipica utilizzata da aggressori ben preparati che monitorano le modifiche al codice e trasformano immediatamente i bug scoperti in strumenti di attacco.

Dopo essere penetrati in Cisco ISE, gli hacker hanno installato una backdoor personalizzata, progettata specificamente per questa piattaforma. Operava esclusivamente nella RAM, senza lasciare praticamente alcuna traccia, e si infiltrava nei processi Java attivi utilizzando un meccanismo di riflessione.

Il malware si registrava nel sistema come listener HTTP, intercettando tutto il traffico proveniente dal server Tomcat. La crittografia DES e la codifica Base64 non standard venivano utilizzate per scopi stealth, e il controllo degli accessi richiedeva la conoscenza di determinate intestazioni HTTP. Sulla base di una combinazione di indicatori, gli esperti hanno concluso che l’attacco non è stato condotto da hacker casuali, ma da un gruppo con una conoscenza approfondita dell’architettura Cisco ISE e delle applicazioni Java aziendali.

Il fatto che possedessero contemporaneamente exploit per CitrixBleed 2 e CVE-2025-20337 indica un elevato livello di sofisticazione da parte degli aggressori. Tali capacità potevano essere possedute solo da un team con ricercatori interni sulle vulnerabilità o con accesso a informazioni non pubbliche sulle vulnerabilità. Né Cisco né Citrix hanno ancora rivelato chi si cela dietro gli attacchi o lo scopo dell’operazione.

Il team di Amazon Threat Intelligence ritiene che questo incidente sia un buon esempio di una tendenza sempre più pericolosa: grandi gruppi APT sfruttano simultaneamente più vulnerabilità per penetrare nei servizi critici, ovvero quelli responsabili dell’autenticazione, del controllo degli accessi e delle policy di rete all’interno delle infrastrutture aziendali.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli