L’exploitation en masse de Citrix Bleed est en cours alors que les équipes de ransomware se précipitent.

La faille de divulgation d’informations critiques Citrix Bleed, qui affecte les passerelles NetScaler ADC et NetScaler Gateway, est maintenant la cible d’une « exploitation de masse », car des milliers d’instances Citrix NetScaler restent vulnérables, selon les équipes de sécurité. Au 30 octobre, Shadowserver a repéré un peu plus de 5 000 serveurs vulnérables sur l’internet public. Et au cours de la dernière semaine, GreyNoise a observé 137 adresses IP individuelles tentant d’exploiter cette faille de Citrix. Citrix a divulgué et publié un correctif pour cette faille – CVE-2023-4966 – le 10 octobre. Cependant, « même si vous avez appliqué le correctif et redémarré, vous avez toujours un problème car les jetons de session persistent », a noté Kevin Beaumont, un observateur de l’infosec, qui a suivi un peu plus de 20 000 serveurs exploités au samedi. Dans un mémo subséquent, Citrix a également repris les conseils de mitigation d’autres entreprises de sécurité et a instructé les clients à tuer toutes les sessions actives et persistentes à l’aide d’une série de commandes. Mais à ce moment-là, les criminels étaient déjà quelques étapes en avant.