Компания Palo Alto Networks сообщила, что продолжает наблюдать эксплуатацию уже исправленной уязвимости в системе безопасности PAN-OS и Prisma Access со стороны операторов программ-вымогателей. Эта активность связана с CVE-2026-0257 (оценка CVSS: 7,8) — уязвимостью обхода аутентификации, которая может использоваться злоумышленниками для создания несанкционированных VPN-подключений. Palo Alto Networks исправила её в мае 2026 года, а Агентство по кибербезопасности и защите инфраструктуры США (CSIA) добавило её в свой каталог известных эксплуатируемых уязвимостей 13 мая 2026 года. «Операторы программ-вымогателей, эксплуатирующие CVE-2026-0257, включают Spikey Scorpius (также известный как Qilin) и Tarnished Scorpius (также известный как INC)», — заявили исследователи Unit 42 в обновлении, опубликованном в понедельник. Это заявление появилось спустя несколько дней после того, как ReliaQuest сообщила, что обнаружила активную эксплуатацию этой уязвимости в финансово мотивированных атаках группировками Qilin и Settra. Согласно Unit 42, злоумышленники используют уязвимость для получения первоначального доступа в корпоративные сети, а затем обходят средства многофакторной аутентификации (MFA) для установки VPN-сеанса. После установки VPN-сеанса было обнаружено, что атакующие выполняют следующие действия после компрометации: — Атаки, совершаемые этими группировками, по имеющимся данным, нацелены на широкий спектр секторов, включая образование, финансовые услуги, здравоохранение, высокие технологии, гостиничный бизнес, производство, профессиональные и юридические услуги, государственные учреждения, транспорт и логистику, коммунальные услуги и энергетику, а также розничную торговлю. «Наиболее значительным изменением в тактике, приёмах и процедурах после успешной эксплуатации CVE-2026-0257 является прямой переход на уровень виртуализации», — заявили в Unit 42. «В одном примечательном случае атакующие перешли с скомпрометированного VPN-шлюза на консоль управления vCenter. Оттуда они отключили средства безопасности на гипервизорах ESXi (execInstalledOnly) и использовали пользовательский инструмент для автономного сбора учётных данных непосредственно с виртуального диска контроллера домена (VMDK)». По словам поставщика сетевых средств безопасности, такой подход обходит средства обнаружения и реагирования на конечных точках, а также средства защиты, позволяя злоумышленникам получить учётные данные всего домена. Также было замечено, что атакующие комбинируют первоначальный метод доступа с другими инструментами эксплуатации, включая попытки атаковать инфраструктуру резервного копирования Veeam с использованием известных уязвимостей (CVE-2023-27532) для нанесения максимального ущерба. Стоит отметить, что эксплуатация CVE-2026-0257 группировкой Qilin ранее была отмечена компанией Arctic Wolf в июле 2026 года, при этом атаки варьировались от быстрых операций только с шифрованием до полного двойного вымогательства. Помимо применения последних исправлений, Palo Alto Networks рекомендует организациям активно искать индикаторы компрометации и запускать соответствующие процедуры реагирования на инциденты в случае обнаружения успешных подключений через шлюз.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
