2
Erste Abuse-Meldungen zu IP-Adressen, wo mal ein offener Citrix-Netscaler war
Moin,
seit heute bekommen wir (Provider) die ersten Abuse-Meldungen zu IP-Adressen, bei denen wir vor ein paar Wochen noch Meldungen vom BSI bekamen, dass da offene Citrix Netscaler-Gateways erreichbar wären.
Ich bin mir bei manchen betroffenen Kunden sehr sicher, dass diese zeitnah darauf reagiert haben (die BSI-Meldungen kamen bereits mehrere Stunden vorher, bevor das bei Heise bekannt wurde), aber von dort gingen jetzt Attacken aus.
In der Regel waren das Portscans auf die Ports:
Aber nachdem mehrere Kunden resp. Geräte quasi zeitgleich betroffen sind, scheint das ein gerade aktiviertes Botnet zu sein, was da loslegt.
Falls ihr also Citrix-Geräte in eurem Netzwerk habt, guckt doch mal nach, was die aktuell so im Internet machen
seit heute bekommen wir (Provider) die ersten Abuse-Meldungen zu IP-Adressen, bei denen wir vor ein paar Wochen noch Meldungen vom BSI bekamen, dass da offene Citrix Netscaler-Gateways erreichbar wären.
Ich bin mir bei manchen betroffenen Kunden sehr sicher, dass diese zeitnah darauf reagiert haben (die BSI-Meldungen kamen bereits mehrere Stunden vorher, bevor das bei Heise bekannt wurde), aber von dort gingen jetzt Attacken aus.
In der Regel waren das Portscans auf die Ports:
- 3389/TCP (Windows-RDP)
- 22/TCP (SSH)
- 23/TCP (Telnet)
Aber nachdem mehrere Kunden resp. Geräte quasi zeitgleich betroffen sind, scheint das ein gerade aktiviertes Botnet zu sein, was da loslegt.
Falls ihr also Citrix-Geräte in eurem Netzwerk habt, guckt doch mal nach, was die aktuell so im Internet machen
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 542824
Url: https://administrator.de/knowledge/erste-abuse-meldungen-zu-ip-adressen-wo-mal-ein-offener-citrix-netscaler-war-542824.html
Ausgedruckt am: 21.12.2024 um 16:12 Uhr
2 Kommentare
Neuester Kommentar
Klingt doch hervorragend. Hier erklärt sich auch, warum wir immer wieder darauf hin weißen müssen, dass Profis die Netze absichern.
Moin,
Gruß,
Dani
Ich bin mir bei manchen betroffenen Kunden sehr sicher, dass diese zeitnah darauf reagiert haben (die BSI-Meldungen kamen bereits mehrere Stunden vorher, bevor das bei Heise bekannt wurde), aber von dort gingen jetzt Attacken aus.
das ist keine Garantie dafür, dass die Kunden "sauber" sind. Eigentlich ist nur eine Neuinstallation der Citrix Produkten sinnvoll. Alles andere ist fahrlässig auf Dauer.Gruß,
Dani
