แฮกเกอร์ใช้ช่องโหว่ zero-day ของ Citrix NetScaler (CVE-2026-88771 และ 88772) สร้างเว็บชีลและมัลแวร์เพื่อเข้าถึงระบบโดยไม่ต้องล็อกอิน ข้อมูลการโจมตีถูกเปิดเผยตั้งแต่เดือนกันยายน 2569 กระทบองค์กรภาครัฐ บริการทางการเงิน สถาบันการศึกษา และบริษัทที่ปรึกษาในยุโรปและอเมริกาเหนือ แฮกเกอร์ใช้เทคนิคเปลี่ยนไฟล์ระบบและกำหนดค่าเซิร์ฟเวอร์เพื่อหลบการตรวจจับ พร้อมติดตั้งมัลแวร์ WHIPSHOT และ SLAPSHOT ซึ่งเป็นเครื่องมือเชื่อมต่อเครือข่ายภายใน ทำให้สามารถแพร่กระจายการโจมตีได้ในองค์กร การโจมตีใช้ช่องโหว่ที่ไม่ได้รับการแก้ไขใน NetScaler ADC และ Gateway ซึ่งเปิดโอกาสให้แฮกเกอร์ควบคุมระบบได้โดยตรง ขณะที่ Citrix ออกแพตช์แก้ไขหลังจากพบการโจมตีในปัจจุบัน บริษัทความปลอดภัย Mandiant และ GreyNoise ยืนยันวิธีการโจมตีที่คล้ายกัน รวมถึงการใช้ไฟล์ .deb และ .sig ในการหลบการตรวจจับ ทำให้เหตุการณ์นี้เป็นตัวอย่างการโจมตีแบบ zero-day ที่มีความซับซ้อนสูง GreyNoise รายงานว่าแฮกเกอร์พยายามเปลี่ยนไฟล์ /bin/sh เพื่อสร้าง root shell และติดตั้งเว็บชีล PHP ที่ป้องกันด้วยรหัสผ่านในตำแหน่ง /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver พร้อมปรับไฟล์ /etc/httpd.conf ให้เรียกไฟล์ CSS ไปเปิดเว็บชีลแทน บริษัทแนะนำให้ตรวจสอบไฟล์ .ctxs.receiver และการเปลี่ยนแปลงใน httpd.conf ที่เกี่ยวข้อง Mandiant ยืนยันวิธีการโจมตีที่คล้ายกัน ซึ่งหลบการตรวจสอบความปลอดภัยและให้แฮกเกอร์เข้าถึงระบบได้โดยไม่ต้องล็อกอิน ผ่านการส่งข้อมูลที่ผิดรูปแบบไปยัง NetScaler Packet Processing Engine ทำให้เกิดความผิดพลาดในระบบ
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว