从入侵到勒索仅数小时！CitrixBleed 2成黑客新跳板

从入侵到勒索仅数小时！

随着Citrix NetScaler高危漏洞CitrixBleed 2（CVE-2025-5777）持续遭到攻击者利用，安全研究人员最新披露了攻击者从初始入侵到部署勒索软件的完整攻击链。调查显示，黑客能够借助该漏洞或合法VPN凭据快速突破企业网络边界，并在数小时内完成横向移动、权限提升、数据窃取和勒索软件部署，反映出当前勒索攻击正向更加自动化、专业化和高效率方向发展。

CitrixBleed 2是一项影响Citrix NetScaler ADC和Gateway的高危越界读取漏洞。攻击者可利用该漏洞从设备内存中窃取有效的会话令牌（Session Token），继而绕过多因素身份认证（MFA），直接接管已登录用户或管理员会话，而无需掌握用户名和密码。这一攻击方式与2023年广泛遭利用的"CitrixBleed"漏洞高度相似，因此被业界称为"CitrixBleed 2"。

CitrixBleed 2（CVE-2025-5777）持续遭到攻击者利用

安全机构在近期事件响应中发现，多个勒索软件组织已将CitrixBleed 2作为初始访问手段之一。攻击通常从利用漏洞或使用窃取的VPN账户登录开始，随后迅速建立远程桌面（RDP）和SMB连接，并利用PsExec等工具在内网横向移动。为了隐藏攻击行为，攻击者大量滥用ScreenConnect、MeshAgent、UltraVNC、Zoho Assist等合法远程管理与运维（RMM）工具，使恶意活动与正常IT运维流量高度混杂，增加检测难度。

在获得立足点后，攻击者会进一步收集域账户、管理员凭据及其他身份认证信息，不断扩大控制范围。同时，还会部署Cloudflare Tunnel等隧道工具建立隐蔽通信通道，并使用S3 Browser、rclone、s5cmd、WinSCP等工具，将重要数据上传至云存储平台，为后续双重勒索做准备。整个攻击过程展现出极强的自动化程度和成熟的攻击流程。

为了提高勒索软件的成功率，攻击者还会主动削弱企业安全防护能力，包括关闭Windows Defender实时防护、卸载终端安全软件、清除日志以及删除勒索程序执行后的痕迹，降低安全团队的检测和取证能力。研究人员指出，这些行为已成为现代勒索攻击的标准流程，目的不仅是完成加密，还要尽可能延缓企业发现攻击和恢复业务。

值得关注的是，即使企业已经安装官方补丁，也不能简单认为风险已经消除。安全研究人员建议，所有曾暴露在互联网的NetScaler设备均应开展全面威胁狩猎，检查是否存在异常VPN登录、会话令牌泄露、管理员账户异常活动、远程管理工具部署以及Cloudflare Tunnel等持久化迹象。由于攻击者可能在修复漏洞之前就已获取合法会话令牌，因此仅完成补丁升级并不足以消除风险，还应彻底销毁所有潜在的活动会话与残留凭据，强制轮换管理员密码，并结合日志开展深度入侵排查，确保攻击者留下的后门被完全清除。

此次事件再次说明，身份认证系统和远程访问基础设施正成为攻击者重点突破目标。一旦VPN网关、身份认证平台或边界设备被攻陷，攻击者便能够绕过传统边界防护，快速向企业核心网络渗透。企业应持续强化边界设备漏洞管理、零信任身份认证、异常登录监测、最小权限控制以及持续威胁检测能力，并将VPN、身份认证平台和远程管理系统纳入重点监测范围，以提升面对新一代勒索攻击的整体防御韧性。

原文来自豫说网数安