CitrixBleed 2 の悪用と NetScaler 侵害：DragonForce ランサムウェア展開を Huntress が検出

Hackers Exploit CitrixBleed 2 to Hijack MFA-Protected Sessions and Deploy DragonForce Ransomware

2026/07/10 gbhackers — CitrixBleed 2 (CVE-2025-5777) を悪用する脅威アクターが、多要素認証 (MFA) で保護されたアクティブな NetScaler セッションをハイジャックし、エンタープライズ侵害のための足掛かりを築いている。この活動は、標準化された攻撃手法を示しており、Initial Access Broker (IAB) またはランサムウェア・アフィリエイトが運用している可能性がある。

被害組織は関連性のない組織／業界にまたがっているが、この攻撃者は、同じアクセス手法／権限昇格手法／不正な管理者アカウント／リモート管理ツールを繰り返し使用していた。脆弱性 CVE-2025-5777 は、Gateway または AAA 仮想サーバとしてコンフィグされた、NetScaler ADC／Gateway アプライアンスに影響を及ぼす、認証前のメモリ・オーバーリードの脆弱性である。具体的な悪用は、”/p/u/doAuthentication.do” などの NetScaler のログイン・エンドポイントへ送信される、不正な形式の POST リクエストにより引き起こされる。

攻撃者が空のログイン・パラメータを大規模に送信すると、アプライアンスに隣接するヒープ・メモリの内容の断片が漏洩するが、アクティブなセッション・トークン／HTTP ヘッダー／内部アドレス／証明書データ／セッション・メタデータなどが、そこに含まれる可能性がある。

その結果として攻撃者は、盗んだ有効なセッション・トークンを別の IP アドレスから再利用するが、すでに正規ユーザーによる認証が完了しているため、新たなログインを行うことなく MFA をバイパスできる。

Huntress Tactical Response は、2026年1月から 6月にかけて発生した 6 件前後の侵入を調査し、最終的に DragonForce ランサムウェアの展開へ至る、きわめて一貫性の高い攻撃チェーンを特定した。この調査で確認されたのは、ユーザーが LDAP と MFA を用いて正規に認証したわずか 21 分後に、攻撃者が制御する IP アドレスから、そのユーザーのセッションへのアクセスが試行されたことだ。

Predictability and clustered behavior often presents the smoking gun for initial access (Source : Huntress).
 Predictability and clustered behavior often presents the smoking gun for initial access (Source : Huntress).

この攻撃者に対応する認証成功イベントを、調査担当者は一切確認できなかった。しかし、セッションが盗まれ、再利用されたことを示す、強力な証拠であると判断した。最初の兆候は従来のパスワード・スプレー攻撃ではなく、NetScaler のログに記録されていたのは、ユーザー名フィールドに表示不能なバイナリ値を取り込んだ、数千件の AAA LOGIN_FAILED イベントであった。

CitrixBleed 2 による MFA のハイジャック

これらの値は、ユーザー名の推測結果ではなく、漏洩したヒープ・メモリの内容であると、Huntress は判断した。したがって、防御側が重点的に調査すべきは、大量の不正なログイン・リクエスト／空のフォーム・パラメータ／ns.log 内の異常なバイナリ・データに加えて、対応する認証成功イベントを伴わないアクティブなセッションとなる。

Citrix NetScaler to Dragonforce Ransomware killchain (Source : Huntress).
Citrix NetScaler to Dragonforce Ransomware killchain (Source : Huntress).

公開されているデスクトップへアクセスした攻撃者は、ポータブルなローカル権限昇格ツールを使用して NT AUTHORITY\SYSTEM 権限を取得した。最も頻繁に観測されたのは、攻撃者が制御するリレー・サーバへ接続するよう設定された ScreenConnect の MSI インストーラである。その他のインシデントでは Zoho Assist が悪用され、さらに初期の侵入では NetBird および Atera が確認されていた。

このローカル権限昇格ツールは、Windows Registry のシンボリック・リンクと AppMgmt (Application Management) サービスを悪用し、特権で実行される Group Policy 処理をリダイレクトして、悪意の実行ファイルを SYSTEM コンテキストで再起動する。その後に攻撃者は、Citrix を連想させる名称の不正なローカル管理者アカウントを作成し、永続化を目的として正規のリモート・アクセス・ソフトウェアをインストールする。

特権アクセスを確立した攻撃者は、対話型 RDP アクセス／偵察／PsExec の実行／認証情報のダンプ／ドメイン・インフラに対する Impacket ベースのリモート活動を実施した。最も深刻なインシデントでは、”1.exe” という名の DragonForce ランサムウェアが実行された。迅速な対応により、暗号化は単一ホストに限定されたが、このインシデントが明確に示すのは、検出されたアクセス・チェーンがランサムウェア攻撃へと発展し得ることだ。

その一方で Sophos は、関連する活動を STAC3725 として追跡し、NetScaler の悪用とランサムウェア配信に共通する戦術を報告している。Huntress による調査では QEMU の使用は確認されていないが、両社における重複が強く示唆するのは、CitrixBleed 2 が複数の犯罪グループにより実際の攻撃で悪用されている可能性である。

これらの調査結果を踏まえ、ユーザー組織にとって必要なことは、インターネットに公開されている NetScaler アプライアンスに対して、Citrix が提供するセキュリティ更新プログラムを直ちに適用することだ。さらに、パッチ適用後は残存する全セッションを終了させた上で、ローテーションされる前にゲートウェイ・ログを保存すべきである。

また、セキュリティ・チームは、管理者アカウントの作成／ScreenConnect や Zoho Assist のインストール／不審な AppMgmt サービスの起動／レジストリ変更などに加えて、見慣れないクライアント・ホスト名に紐付く RDP セッションも確認すべきである。

侵害指標 (IoC)
IndicatorDescription
ctxsvcAdversary Account
CtxAppVCOMServiceAdversary Account
testAdversary Account
WIN-4E0AP4JTJR9Adversary Hostname
WIN-VI960VQI4I6Adversary Hostname
eng.exe, legal.exe, exsym.exe, as.exe, exp6.exeLPE Tooling Names
Us.msi, SC.msiScreenConnect Installers
za.msiZoho Assist Installer
asas.zip, ex.zip, *_update.zipPassword-protected archives from temp[.]sh
1.exeDragonforce Ransomware
c84739655ce1af0a0269138263d47567418f69e0f75e249f8e23bc21802209e2LPE SHA256
eb083365dc70d0294e8c4f55a2e78be0edb0f3497f2a06a70c9f474dafab48d8LPE SHA256
c4fcae3847946173bf0b3cedf5d97a9e3d18090023842f942ba544fa7fda180dDragonForce ransomware SHA256
cmd.exe /c sc start AppMgmt >nul 2>nulLPE Command Line Emission
cmd.exe /c gpupdate /force >nul 2>nulLPE Command Line Emission
relay.dltsolutions[.]topScreenConnect Relay
relay.eurofin[.]digitalScreenConnect Relay
vpts[.]usScreenConnect Relay
opa[.]tlsd[.]shopNetbird Relay

注：IP アドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防止するため意図的に無害化されており、例として [.] が使用されている。無害化の解除は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンス・プラットフォーム内でのみ実施すべきである。

訳者後書：CitrixBleed 2 (CVE-2025-5777) と呼ばれる脆弱性が原因で発生した、サイバー攻撃について解説する記事です。この問題の根本的な原因は、NetScaler のログイン・エンドポイントに対して不正な形式の POST リクエストが送信されることで、認証前のメモリ・オーバーリードが引き起こされる点にあります。攻撃者が空のログイン・パラメータを大量に送信すると、機器のメモリ内にあるアクティブなセッション情報などのデータが漏洩してしまいます。その結果として、正規のユーザーが認証を済ませた有効なセッションが盗まれ、MFA (多要素認証) がバイパスされ、不正アクセスを許すことになります。ご利用のチームは、ご注意ください。よろしければ、CVE-2025-5777 で検索を、お試しください。