==============================================================================
  CISA SUMA UNA CUARTA FALLA EXPLOTADA EN CITRIX NETSCALER EN SEIS SEMANAS
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/citrix-netscaler-cuarta-vulnerabilidad-explotada-cisa-kev
  Publicado:   2026-10-05  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 06:20  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Log de auditoría de Citrix NetScaler (ns.log / syslog del plano de administración)
  · Log de acceso HTTP de NetScaler Gateway
  · Logs de firewall perimetral para accesos a la interfaz de gestión (NSIP)
  · Catálogo KEV de CISA y boletín de seguridad de Citrix, para IOCs que aún no se han publicado

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Indicios de post-explotación en Citrix NetScaler (superusuario o rutas .css sospechosas)
==============================================================================
  Requiere: Logs de auditoría (ns.log) y de acceso HTTP de NetScaler centralizados. Los nombres de campo son ilustrativos: hay que mapearlos al formato real de exportación de tu despliegue (syslog nativo, CEF, o NetScaler ADM).

title: Indicios de post-explotación en Citrix NetScaler
id: a3f1c9e2-7d4b-4a1e-9c3f-6b8a2d4e5f71
status: experimental
description: >
  Detecta dos patrones de post-explotación reportados en la campaña activa
  contra Citrix NetScaler ADC/Gateway (CVE-2026-88771, -88772, -88778, -88779):
  creación de cuentas de superusuario fuera de ventana de cambio, y solicitudes
  HTTP POST a rutas que terminan en .css, patrón asociado a web shells camuflados.
  Requiere centralizar el log de auditoría y de acceso HTTP de NetScaler.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/04/cisa-adds-one-known-exploited-vulnerability-catalog
  - https://thehackernews.com/2026/10/citrix-netscaler-post-exploitation.html
logsource:
  category: application
  product: citrix
detection:
  selection_superuser:
    EventMessage|contains:
      - 'superuser'
      - 'Added System User'
  selection_webshell:
    http_method: 'POST'
    url_path|endswith: '.css'
  condition: 1 of selection_*
fields:
  - src_ip
  - user
  - url_path
falsepositives:
  - Automatización interna que crea cuentas administrativas en ventanas de cambio programadas
  - Aplicaciones legítimas que sirven hojas de estilo dinámicas vía POST (poco común)
level: high

==============================================================================
  REGLA 2 de 4   ·   MICROSOFT SENTINEL - KQL
  Post-explotación NetScaler en CommonSecurityLog
==============================================================================
  Requiere: Forwarding de logs de NetScaler (ns.log y log de acceso HTTP) hacia Sentinel vía conector CEF/Syslog. Confirmar que DeviceProduct quede poblado como 'NetScaler' antes de activar alertas.

CommonSecurityLog
| where DeviceVendor == "Citrix" and DeviceProduct has "NetScaler"
| where (Message has "superuser" or Message has "Added System User")
   or (RequestMethod == "POST" and RequestURL endswith ".css")
| project TimeGenerated, DeviceVendor, DeviceProduct, SourceIP, DestinationIP, Message, RequestURL

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  Post-explotación NetScaler en índice dedicado
==============================================================================
  Requiere: index=netscaler con los logs de auditoría (ns.log) y de acceso HTTP de NetScaler Gateway ingeridos. Ajustar el nombre del índice al real del despliegue.

index=netscaler (Message="*superuser*" OR Message="*Added System User*")
OR (index=netscaler http_method=POST url_path="*.css")
| table _time, src_ip, user, url_path, Message

==============================================================================
  REGLA 4 de 4   ·   IBM QRADAR - AQL
  Post-explotación NetScaler vía AQL
==============================================================================
  Requiere: Log source configurado en QRadar como 'Citrix NetScaler' (DSM universal o syslog genérico). Validar el parsing de los campos URL y método HTTP antes de operacionalizar.

SELECT DATEFORMAT(devicetime,'YYYY-MM-dd HH:mm:ss') AS tiempo, sourceip, username, URL, payload
FROM events
WHERE LOGSOURCETYPENAME(logsourcetypeid) = 'Citrix NetScaler'
AND (payload ILIKE '%superuser%' OR payload ILIKE '%Added System User%'
     OR (URL ILIKE '%.css' AND "HTTP Method" = 'POST'))
LAST 7 DAYS

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de superusuario puede disparar por automatización legítima de
  aprovisionamiento de cuentas administrativas — valida contra la ventana de
  cambios registrada antes de escalar. La regla de rutas .css con POST es
  rara en tráfico legítimo, pero algunas aplicaciones con hojas de estilo
  generadas dinámicamente podrían calzar; revisa el cuerpo de la solicitud
  antes de confirmar como incidente. Ambas reglas están en estado
  experimental porque se basan en un solo reporte derivado (TheHackerNews),
  no en IOCs confirmados por el fabricante o por CISA.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================