CitrixBleed 2 opět ukazuje, že útočníci nepotřebují malware. Stačí jim vaše důvěra.
Ransomwarové skupiny neustále hledají nové cesty, jak se dostat do firemních sítí. V posledních týdnech se upozorňuje na kampaně skupiny Anubis, která při útocích využívá zranitelnost známou jako CitrixBleed 2 (CVE-2025-5777). Nejnebezpečnější ale není samotná zranitelnost. Je to způsob, jakým útočníci po průniku pracují.
Místo nápadného malwaru totiž používají běžné nástroje, které ve firmách denně využívají správci IT. Jejich aktivita tak může na první pohled působit jako zcela legitimní administrace systému.
CitrixBleed 2 otevírá dveře do firemní sítě
CitrixBleed 2 je kritická zranitelnost zařízení Citrix NetScaler ADC a Gateway. Útočník může za určitých podmínek získat citlivé informace z paměti zařízení, včetně přihlašovacích tokenů. Díky tomu může převzít aktivní relaci uživatele a obejít i vícefaktorové ověřování (MFA).
Právě tato možnost dělá ze zranitelnosti velmi atraktivní cíl. Pokud organizace neaplikuje bezpečnostní aktualizace včas, může útočník získat přístup bez znalosti hesla.
Po průniku se útočníci neskrývají. Splývají s okolím.
Podle analýzy společnosti Arctic Wolf začala skupina Anubis po získání přístupu využívat běžné nástroje pro vzdálenou správu (RMM – Remote Monitoring and Management). Patří mezi ně například ScreenConnect, Zoho Assist, MeshAgent nebo UltraVNC. Tyto aplikace jsou samy o sobě legitimní a ve firmách běžně používané.
To představuje zásadní problém. Tradiční bezpečnostní řešení často hledají škodlivé soubory nebo neznámé programy. Pokud ale útočník používá stejný software jako interní administrátor, jeho činnost může dlouhou dobu zůstat bez povšimnutí.
Výzkumníci zároveň popsali, že útočníci po získání přístupu využívají nástroje jako RDP nebo PsExec pro pohyb napříč sítí. Zaměřují se především na doménové řadiče, virtualizační prostředí, zálohovací servery a úložiště NAS. Teprve ve chvíli, kdy mají prostředí pod kontrolou a často již odcizená data mimo organizaci, přichází samotné zašifrování systémů ransomwarem.
Co si z toho mohou organizace odnést?
Jako vždy připomínáme – samotná prevence nestačí. Stejně důležité je včas rozpoznat podezřelé chování uvnitř vlastní infrastruktury.
Organizace by proto měly:
- neprodleně instalovat bezpečnostní aktualizace pro Citrix NetScaler a po aktualizaci ukončit všechny aktivní relace,
- pravidelně kontrolovat, jaké nástroje pro vzdálenou správu jsou v prostředí skutečně potřeba,
- sledovat neobvyklé přihlašování, nové instalace administrátorských nástrojů nebo nestandardní pohyb mezi servery,
- pravidelně ověřovat připravenost na ransomware prostřednictvím analýzy rizik, záloh a incident response plánů.
Útočníci mění taktiku. Obrana se musí změnit také.
Moderní ransomwarové kampaně už dávno nejsou založené pouze na škodlivém kódu. Čím dál častěji využívají legitimní nástroje, běžné administrátorské postupy a slabiny v řízení přístupů. Díky tomu mohou v síti působit delší dobu, aniž by vzbudili pozornost.
Právě proto dnes nestačí pouze reagovat na incident. Organizace potřebují průběžně znát svá kritická aktiva, rozumět rizikům a mít přehled o tom, jaké scénáře mohou jejich provoz ohrozit. Dobře nastavené řízení rizik a pravidelné vyhodnocování bezpečnostního stavu pomáhá podobné útoky odhalit dříve, než přerostou v krizovou situaci.
