WHIPSHOT
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
WHIPSHOT es una familia de malware desplegada en dispositivos Citrix NetScaler ADC comprometidos. Se reporta desde octubre de 2026. La evidencia no nombra a un grupo específico de atacantes, aunque describe sus acciones técnicas sobre la infraestructura afectada.
Cómo llega
Explota una cadena de vulnerabilidades: CVE-2026-88771 para envenenamiento de registros y ejecución de código pre-autenticación, y CVE-2026-88779 para un crash en el análisis SAML. Esta combinación permite a los atacantes lograr ejecución de código con privilegios de raíz en el equipo afectado.
Qué hace una vez dentro
Instala PHP web shells con canales de comando basados en cookies para mantener persistencia y control remoto. Modifica shells setuid, crea entradas cron y ganchos de arranque. Instala gestores de sesiones TCP, túneles HTTP y agentes reversos para el comando y control. Sincroniza implantes entre pares de dispositivos mediante lógica consciente de alta disponibilidad.
A quién ataca
Apunta específicamente a dispositivos Citrix NetScaler ADC que ejecutan la versión 14.1. La evidencia no detalla sectores industriales, regiones geográficas ni otros tipos de plataformas objetivo más allá de este equipo de red específico.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Unix Shell | T1059.004 |
| Ejecución | Python | T1059.006 |
| Ejecución | JavaScript | T1059.007 |
| Persistencia | RC Scripts | T1037.004 |
| Persistencia | Web Shell | T1505.003 |
| Escalada de privilegios | Setuid and Setgid | T1548.001 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | File Deletion | T1070.004 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | Remote System Discovery | T1018 |
| Descubrimiento | Network Service Discovery | T1046 |
| Recolección | Data from Local System | T1005 |
| Recolección | Local Data Staging | T1074.001 |
| Recolección | Archive via Utility | T1560.001 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Internal Proxy | T1090.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Encrypted Channel | T1573 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2026-102764 | BeyondTrust Remote Support | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-104935 | Ivanti Connect Secure | 8.6 | Sí | AlienVault OTX (presunta) |
| CVE-2026-88771 | Citrix NetScaler | Sí | AlienVault OTX (presunta) | |
| CVE-2026-88772 | Citrix NetScaler | Sí | AlienVault OTX (presunta) | |
| CVE-2026-88779 | Citrix NetScaler | 7.5 | Sí | AlienVault OTX (presunta) |
| CVE-2026-97229 | GitLab Community Edition and Enterprise Edition | 10 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
