黑客给思杰服务器打补丁：为的是保持独家访问权

FireEye认为，这是不法分子在伺机攻击思杰服务器。

本周针对思杰设备的攻击已愈演愈烈，现在多个威胁攻击者已加入进来、发动攻击，企图攻击公司网络、政府服务器或公共机构等高价值目标。

FireEye公司在今天发表的一份文章中称，在过去这周一直密切关注的所有攻击动静中，它发现了一个攻击者显得与众不同。

这个特别的威胁攻击者从Tor节点后面攻击思杰服务器，并部署了一个新的有效载荷（payload），FireEye团队称之为FireRoye。

FireEye称，NotRobin有双重目的。首先，它充当进入已中招的思杰设备的后门。其次，它的工作方式类似防病毒软件，即删除设备上发现的其他恶意软件，防止其他攻击者将新的有效负载部署到易受攻击的思杰主机上。

目前尚不清楚NotRobin攻击者是好人还是坏人，因为在已中招的思杰系统上除了NotRobin有效载荷外没有部署另外的恶意软件。

然而，FireEye的专家倾向于将其列为坏人。他们在文章中称，他们认为该攻击者可能在“为随后的攻击活动悄悄地收集访问NetScaler设备的渠道。”

思杰漏洞和补丁失败

最近针对思杰服务器的所有攻击都在钻CVE-2019-19781的空子，思杰应用程序交付控制器（ADC，之前名为NetScaler ADC）和思杰网关（之前名为NetScaler Gateway）曝出了这个漏洞。

CVE-2019-19781漏洞是如今受攻击最频繁的安全漏洞之一，原因有三点。

首先，思杰ADC和思杰网关设备在企业界非常流行，因此为攻击者提供了大好的攻击途径。
其次，该漏洞很容易被人钻空子，只需要很少的技术技能。
第三，概念验证漏洞攻击代码已在上周末发布，这为更多的黑客团伙放低了准入门槛。

自周末以来，对易受攻击的思杰设备的扫描以及大肆钻空子的活动已泛滥成灾。

荷兰政府：除非补丁已准备好，否则关闭思杰系统

说到处理这个安全漏洞，思杰简直可以说撒手不管。

去年该公司就接到了有关该问题的通知，可是到12月份，Positive Technologies在博客上披露有关该漏洞的详细信息时，思杰措手不及，没有为客户准备好补丁。

思杰而是发布了缓解措施，建议思杰设备用户可以采取缓解措施来保护其服务器。遗憾的是，建议的这个缓解措施对所有思杰版本而言并未起到应有的效果，一些版本仍易受攻击。

昨天，荷兰国家网络安全管理局（NCSC）开始建议运行思杰ADC或NetScaler Gateway服务器的公司和政府机构关闭系统，直到正式补丁已准备好，提到“对缓解措施的效果不确定。”

荷兰的NCSC在思杰问题上可能有点敏感，因为在该国已至少发生了两起由被攻击的思杰系统引起的重大安全事件，一起发生在Ziekenhuis Leeuwarden医院，另一起发生在聚特芬市（Zutphen）的网络。在这两起安全事件中，受害者都不得将整个网络关闭了数日，以应对入侵。

IT外媒ZDNet昨天联系思杰就NCSC的建议有何评论时，思杰坚持采取其缓解措施的立场。

思杰首席信息安全官Fermin Serna告诉ZDNet：“我们发布的缓解措施适用于我们软件的所有受支持版本，包含旨在在所有已知情况下阻止潜在攻击的详细步骤。但必须遵循所有步骤。”

“我们继续建议我们的客户立即采取缓解措施，并在第一时间打上永久性修复程序。”

预计思杰会在本月底前发布针对CVE-2019-19781漏洞的补丁。在此期间，思杰设备用户可以采取思杰的临时缓解措施，也可以听取NCSC的建议，关闭设备、直到永久性修复程序已准备好。