یک گروه تهدید پیشرفته از دو آسیب‌پذیری بحرانی “Citrix Bleed 2” (CVE-2025-5777) در NetScaler ADC و Gateway و CVE-2025-20337 در Cisco Identity Service Engine (ISE) به عنوان حملات روز صفر (zero-day) برای استقرار بدافزار سفارشی استفاده کرد. تیم اطلاعات تهدید آمازون با تجزیه و تحلیل داده‌های honeypot “MadPot” کشف کرد که هکرها از این دو مسئله امنیتی قبل از افشای عمومی و در دسترس قرار گیری وصله‌های امنیتی بهره‌برداری کردند. آمازون توضیح داد: “سرویس honeypot MadPot ما تلاش‌های بهره‌برداری از آسیب‌پذیری Citrix Bleed Two را قبل از افشای عمومی شناسایی کرد که نشان‌دهنده استفاده یک عامل تهدید از این آسیب‌پذیری به عنوان zero-day بود.”
هکرها از CVE-2025-20337 برای دستیابی به دسترسی مدیریتی قبل از احراز هویت (pre-auth admin access) به نقاط پایانی Cisco ISE استفاده کردند و یک وب شل (web shell) سفارشی به نام ‘IdentityAuditAction’ را مستقر کردند که به عنوان یک جزء مشروع ISE مخفی شده بود. این وب شل از رمزنگاری DES با کدگذاری base64 غیراستاندارد برای مخفی‌کاری استفاده می‌کرد و نیاز به دانش هدرهای HTTP خاص برای دسترسی داشت. استفاده از چندین آسیب‌پذیری zero-day افشا نشده و دانش پیشرفته از Java/Tomcat و معماری Cisco ISE همگی به یک عامل تهدید بسیار منابع‌دار و پیشرفته اشاره دارد، اگرچه آمازون نتوانست این فعالیت را به گروه تهدید شناخته‌شده‌ای نسبت دهد.
کلمات کلیدی : آسیب‌پذیری, zero-day, Citrix Bleed, Cisco ISE, بدافزار, honeypot, وب شل, گروه تهدید
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.