该漏洞是一种代码注入，可能导致未经身份验证的远程代码执行，成功利用该漏洞需要将设备配置为网关（VPN 虚拟服务器、ICA 代理、CVPN、RDP 代理）或 AAA 虚拟服务器。

　　美国网络安全和基础设施安全局 (CISA) 警告称 ，存在利用零日 CVE-2023-3519 的针对 Citrix NetScaler 应用交付控制器 (ADC) 和网关设备的网络攻击。 该机构透露，威胁行为者针对的是关键基础设施组织网络中部署的 NetScaler ADC 设备。

　　X-Force 在为一名报告 NetScaler 安装身份验证速度缓慢的客户进行事件响应活动时发现了该活动。攻击者利用该缺陷将恶意 Java 注入设备“index.html”登录页面。

　　“附加到合法“index.html”文件的脚本会加载一个额外的远程 Java 文件，该文件将一个函数附加到 VPN 身份验证页面中的“登录”元素，该元素收集用户名和密码信息并将其发送到远程服务器。身份验证期间的服务器。”

　　附加到“index.html”的 Java 代码检索并执行附加 Java 代码，这些代码将自定义函数附加到身份验证页面上的“Log_On”按钮。恶意代码可以收集身份验证表单中的数据（包括凭据），并通过 HTTP POST 方法将其发送到远程主机。

　　X-Force 研究人员发现了该活动中使用的多个域名，这些域名于 8 月 5 日、6 日和 14 日注册，并利用 Cloudflare 来掩盖这些域名的托管位置。

　　研究人员确定了威胁行为者使用的 C2 基础设施，然后他们能够识别出近 600 个托管修改后的 NetScaler Gateway 登录页面的唯一受害者 IP 地址。大多数受害者在美国和欧洲。

　　分析显示代理和VPN有什么区别，NetScaler Gateway 登录页面首次修改于 2023 年 8 月 11 日，这表明该日期可能标志着该活动的开始。

　　研究人员无法将该活动与任何已知的威胁组织联系起来，但是，他们能够从该活动中提取妥协指标（IoC）。返回搜狐，查看更多