[业内新闻动态] [【转载】] Citrix NetScaler 的大规模扫描使用了数千个住宅代理服务器

结论

攻击者通过住宅代理IP集群化扫描Citrix NetScaler的登录面板（/logon/LogonPoint/index.html）和版本枚举路径（/epa/scripts/win/nsepa_setup.exe），结合过时用户代理（Chrome 50）和蜜罐过滤绕过策略，意图测绘目标环境并验证漏洞利用可行性（如CVE-2025-5775/5777）。攻击具有定向性、隐蔽性和自动化特征。

分析路径（T00ls方法论）

L1 攻击面识别

1. 暴露面定位：
   • 目标路径：/logon/LogonPoint/index.html（登录入口）和/epa/scripts/（EPA安装包目录）。
   • 异常行为：高频HEAD/GET请求，用户代理固定为Chrome 50（2016年版本）。
2. 代理网络特征：
   • 64%流量来自住宅代理IP（模拟合法ISP地址），36%集中于Azure IP。
   • IP数量超6万，流量突发性强（6小时1,892次请求），符合自动化扫描模式。

L2 假设与验证

1. 假设1：攻击者利用EPA路径探测版本漏洞
   • 验证：检查日志中/epa/scripts/win/nsepa_setup.exe的访问记录，关联用户代理和响应内容（如泄漏的版本信息）。
2. 假设2：住宅代理集群用于规避IP信誉过滤
   • 验证：分析源IP归属，对比住宅ISP与已知威胁情报库（如GreyNoise数据）。

L3 边界/异常场景

1. 异常用户代理：
   • Chrome 50是2016年旧版本，正常用户几乎不会使用，可作为检测规则。
2. 路径暴力枚举：
   • 高频访问/logon/路径但无有效凭证，可能尝试探测暴露的管理面板。
3. 蜜罐触发行为：
   • 79%流量触发蜜罐，表明攻击者具备基础存活检测能力，但目标仍为真实资产。

L4 防御反推与修复

1. 攻击链推导：
   • 扫描→版本枚举（EPA路径）→漏洞利用（如CVE-2025-5777/CVE-2025-5775）→横向移动。
2. 防御失效点：
   • 未限制/epa/scripts/目录访问权限。
   • 版本信息泄漏（如HTTP响应头或EPA文件）。
   • 入侵检测规则未覆盖旧版浏览器指纹和住宅IP异常行为。

验证步骤

1. 日志分析：

   # 检查访问日志中针对EP路径的请求
   grep "/epa/scripts" /var/log/nginx/access.log | awk '{print $1,$6,$12}' | sort | uniq -c
   
   # 统计Chrome 50用户代理的访问频率
   grep "Chrome/50" /var/log/apache2/access.log | wc -l

2. 流量溯源：

   # 使用IP信誉工具（如GreyNoise API）批量查询源IP
   for ip in $(awk '{print $1}' access.log); do curl "https://api.greynoise.io/v3/community/$ip"; done

3. 版本信息泄漏测试：

   # 检查HTTP头是否包含Citrix版本（如Server: Citrix-Netscaler...）
   curl -I -A "Chrome/50" http://<target>/epa/scripts/win/nsepa_setup.exe

修复建议

1. 立即缓解：
   • 屏蔽可疑路径：通过Web应用防火墙（WAF）或NGINX规则拦截/epa/scripts/目录的非信任IP访问：

     location ~ /epa/scripts/ {
         deny all;
     }

   • 禁用版本信息泄漏：在Citrix NetScaler配置中隐藏HTTP响应头中的版本信息（set sysparam -productversion ""）。
2. 长期防御：
   • 部署用户代理指纹检测：在WAF中添加规则，拦截Chrome 50等过时UA或异常组合（如住宅IP + 企业级扫描行为）。
   • 最小化暴露面：关闭非必要的HTTP服务（如Citrix Gateway非HTTPS端口），或通过Cloudflare等CDN隐藏真实IP。
3. 监控与情报：
   • 配置SIEM（如ELK/Splunk）实时告警：

     # Elastic查询示例
     GET /_search
     {
       "query": {
         "bool": {
           "must": [
             {"match_phrase": {"path": "/epa/scripts/"}},
             {"wildcard": {"user_agent.name": "Chrome"}},
             {"range": {"user_agent.version": {"lte": "50"}}}
           ]
         }
       }
     }

   • 订阅GreyNoise、CISA等威胁情报源，关联CVE-2025-5775/5777的利用特征。

信息缺失补充（如需进一步行动）

需确认：

1. 目标Citrix NetScaler的具体版本及补丁状态（如是否修复CVE-2025-5777）。
2. 当前WAF/IDS规则是否覆盖住宅IP的高频扫描行为。
3. 日志存储路径及权限是否允许自动化分析。