Il CVE-2023-3519 è un difetto di iniezione di codice di gravità critica (punteggio CVSS: 9,8) in Citrix NetScaler ADC e NetScaler Gateway, scoperto come zero-day attivamente sfruttato a metà luglio 2023.
Il fornitore ha rilasciato prontamente gli aggiornamenti di sicurezza il 18 luglio, ma c’erano prove che i criminali informatici stavano vendendo gli exploit nei mercati underground da almeno il 6 luglio scorso.
Ora gli sviluppi per le relative integrazioni sono state completate e diverse cybergang iniziano ad utilizzare la catena di attacco per i loschi scopi.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Infatti un attore malevolo connesso alla cybergang FIN8 ha iniziato a sfruttare la code-injection integrandola nei suoi strumenti malevoli.
Avevamo riportato che molti sistemi risultavano non protetti. Questo per il cybercrime è una cosa altamente preziosa in quanto soprattutto quando si parla di RCE su entry point perimetrali come il caso di Citrix NetScaler ADC e NetScaler Gateway.
Sophos monitora questa campagna da metà agosto, segnalando che l’autore della minaccia esegue iniezioni di payload, utilizza BlueVPS per individuare malware, distribuisce script PowerShell offuscati e rilascia webshell PHP sui computer delle vittime.
A metà agosto, oltre 31.000 istanze di Citrix NetScaler rimanevano vulnerabili a CVE-2023-3519, più di un mese dopo la disponibilità dell’aggiornamento di sicurezza, offrendo agli autori delle minacce numerose opportunità di attacco.
Sophos X-Ops segnala che un attore di minacce tracciato come “STAC4663” sta sfruttando CVE-2023-3519, che i ricercatori ritengono sia parte della stessa campagna di cui Fox-IT ha riferito all’inizio di questo mese.
Il payload trasportato nei recenti attacchi, che viene iniettato negli eseguibili “wuauclt.exe” o “wmiprvse.exe”, è ancora in fase di analisi. Tuttavia, Sophos ritiene che faccia parte di una catena di attacchi ransomware. Inoltre sembra che ci siano collegamenti anche con il ransomware ALPHV/BlackCat.
Inutile quindi dire di aggiornare le macchine qualora queste non sono state ancora aggiornate.
Che la caccia abbia inizio!
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cyberpolitica
Cybercrime
Cultura
Cybercrime