Nhóm ransomware khai thác Citrix Bleed 2, dùng BYOVD và đánh cắp thông tin từ chuỗi cung ứng
"Threat actors linked to Anubis ransomware were observed exploiting Citrix Bleed 2 (CVE-2025-5777) on Citrix NetScaler ADC/Gateway to gain initial access, then using valid VPN credentials, RDP, PsExec, and legitimate RMM tools for lateral movement, persistence, and data exfiltration before ransomware deployment. The article also describes The Gentlemen RaaS using a Go backdoor and BYOVD against a vulnerable Kontron driver (ktapi.sys), and a VECT/TeamPCP partnership leveraging supply-chain credential theft; mitigations center on patching affected systems, credential hardening, and blocking malicious tooling and driver abuse."
Nguy cơ cao do chuỗi tấn công kết hợp lỗ hổng Citrix (CVE-2025-5777), BYOVD để vượt kiểm soát endpoint và cơ chế đánh cắp thông tin/credential từ chuỗi cung ứng, tạo khả năng xâm nhập lặp lại và triển khai ransomware quy mô lớn.
Có thể gây gián đoạn nghiêm trọng và rủi ro rò rỉ dữ liệu do data exfiltration trước khi mã hóa, đồng thời tăng chi phí ứng phó khi kẻ tấn công dùng công cụ hợp pháp để duy trì hiện diện lâu dài.
Các nhóm liên quan đến hoạt động ransomware Anubis được ghi nhận khai thác lỗ hổng Citrix Bleed 2 (CVE-2025-5777, CVSS 9.3) trên Citrix NetScaler ADC/Gateway để giành quyền truy cập ban đầu. Sau đó, kẻ tấn công có thể dùng VPN credentials hợp lệ để chuyển sang các kỹ thuật xâm nhập sâu hơn như RDP, tạo dịch vụ qua PsExec, triển khai công cụ RMM hợp pháp nhằm duy trì truy cập và che giấu hành vi. Một số trường hợp còn thiết lập Cloudflare Tunnel để tạo đường hầm tới môi trường nạn nhân.
Bài viết cũng mô tả hoạt động của The Gentlemen RaaS, sử dụng Go backdoor để thực thi lệnh từ xa và mở rộng khả năng trinh sát, đồng thời áp dụng BYOVD (bring your own vulnerable driver) với driver ktapi.sys (Kontron) để đạt quyền mức kernel và né cơ chế bảo vệ. Ngoài ra, nhóm VECT và TeamPCP được cho là hợp tác theo hướng kết hợp đánh cắp thông tin từ chuỗi cung ứng với triển khai ransomware.
Khuyến nghị: ưu tiên vá CVE-2025-5777, rà soát cấu hình NetScaler/Gateway, siết chặt quản trị và xác thực VPN, giám sát lạm dụng RDP/PsExec/RMM, hạn chế tải công cụ không rõ nguồn và kiểm tra dấu hiệu can thiệp phòng thủ như tắt bảo vệ thời gian thực, xóa/biến đổi log.