Несколько групп вымогателей, включая Qilin и Inc, используют критическую уязвимость обхода аутентификации в PAN-OS от Palo Alto Networks. Исследователи Unit 42 с начала июня изучают атаки, затронувшие множество отраслей, таких как финансы, здравоохранение и производство.
CVE-2026-0257 затрагивает порталы и шлюзы GlobalProtect PAN-OS и потенциально позволяет злоумышленникам обойти ограничения безопасности и установить несанкционированное VPN-соединение.
Производитель систем безопасности впервые сообщил об уязвимости и выпустил исправление 13 мая, первоначально присвоив ей рейтинг средней степени опасности. Компания заявила, что осведомлена о попытках эксплуатации, но не наблюдала вредоносной активности.
Однако оценка быстро изменилась: к концу месяца исследователи Rapid7 сообщили, что наблюдали успешную эксплуатацию у нескольких клиентов, начиная как минимум с 17 мая.
В понедельник подразделение Palo Alto Networks по консалтингу и реагированию на инциденты Unit 42 заявило, что группы вымогателей, включая Qilin и Inc, продолжают активно использовать CVE.
«Злоумышленники используют эту уязвимость для получения первоначального доступа к корпоративным сетям, последующего обхода средств многофакторной аутентификации (MFA) для установления VPN-сессии», — сообщил Энди Пьяцца, старший директор Unit 42 по анализу угроз.
После получения первоначального доступа преступники перемещаются по сети, используя протоколы удаленного рабочего стола (RDP) и Server Message Block (SMB), устанавливают дополнительное вредоносное ПО для кражи учетных данных и данных, прежде чем в конечном итоге развернуть программы-вымогатели, предупредил Пьяцца.
В ходе своих расследований Unit 42 обнаружило, что преступники, использующие программы-вымогатели, заражают «множество отраслей, включая образование, финансовые услуги, здравоохранение, высокие технологии, гостиничный бизнес, производство, профессиональные и юридические услуги, государственное управление, транспорт и логистику, коммунальные услуги и энергетику, а также оптовую и розничную торговлю».
Palo Alto Networks не ответила на запросы The Register относительно атак, включая количество зараженных организаций.
Кроме того, аналитики ReliaQuest предупредили, что «несколько групп угроз», включая операторов вымогателей Settra, также используют эту уязвимость для получения первоначального доступа к корпоративным сетям через несанкционированные VPN-сессии.
«Наиболее значительным развитием тактик, методов и процедур (TTP) после успешной эксплуатации CVE-2026-0257 является прямой переход к уровню виртуализации», — написал Пьяцца. «В одном примечательном случае злоумышленники перешли с скомпрометированного VPN-шлюза на управляющий узел vCenter. Оттуда они отключили средства защиты на гипервизорах ESXi (execInstalledOnly) и использовали пользовательский инструмент для выполнения офлайн-дампинга учетных данных непосредственно против виртуального диска контроллера домена (VMDK)».
Это позволяет злоумышленникам обходить средства обнаружения и реагирования на конечных точках внутри гостевых систем и представляет собой «высокосложный метод» кражи учетных данных в масштабах домена, добавил он.
Unit 42 также обнаружило, что преступники используют эту уязвимость для первоначального доступа в сочетании с другими уязвимостями, такими как CVE-2023-27532, которая нацелена на инфраструктуру резервного копирования Veeam.
Поэтому, если вы еще не установили исправление для уязвимого ПО PAN-OS, сделайте это немедленно — и проверьте, не получили ли злоумышленники уже доступ к вашей сети. Используйте индикаторы компрометации от Unit 42 для помощи в поиске угроз.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
