مجموعات فدية متعددة تستغل ثغرة في Palo Alto PAN-OS منذ يونيو

مجموعات متعددة لبرامج الفدية تستغل بشكل نشط ثغرة عالية الخطورة لتجاوز المصادقة في برنامج PAN-OS التابع لشركة Palo Alto Networks منذ بداية يونيو على الأقل، وفقاً لـ Unit 42، القسم الاستشاري والاستجابة للحوادث التابع للمورد. وقد أثرت الهجمات على مؤسسات في العديد من القطاعات، بما في ذلك المالية والصحة والتصنيع.

الثغرة والجدول الزمني للاستغلال

تؤثر الثغرة CVE-2026-0257 على بوابات PAN-OS GlobalProtect وبوابات الاتصال التابعة لها، مما قد يسمح للمهاجمين بتجاوز القيود الأمنية وإنشاء اتصالات VPN غير مصرح بها. وكشفت Palo Alto Networks عن الخلل وأصدرت تصحيحاً له في 13 مايو، مع تصنيفه مبدئياً كمتوسط الخطورة وبيان أنها كانت على علم بمحاولات لاستغلاله لكنها لم ترصد أي استغلال خبيث.

تغير ذلك التقييم بسرعة. فبحلول نهاية مايو، أبلغ باحثو Rapid7 عن رصدهم استغلالاً ناجحاً عبر بيئات متعددة للعملاء، مع نشاط يعود تاريخه إلى 17 مايو على الأقل.

مجموعات برامج الفدية وأساليبها

قال آندي بياتزا، المدير الأقدم لاستخبارات التهديدات في Unit 42، إن المهاجمين يستغلون الثغرة للحصول على موطئ قدم أولي في شبكات الشركات، ثم يتجاوزون ضوابط المصادقة متعددة العوامل لإنشاء جلسة VPN. وأضاف أن طواقم برامج الفدية بما فيها Qilin وInc مستمرة في استهداف هذه الثغرة CVE.

وبعد الحصول على الوصول الأولي، ينتقل المجرمون جانبياً عبر الشبكات باستخدام Remote Desktop Protocol وServer Message Block، ويزرعون برامج خبيثة إضافية لتجميع بيانات الاعتماد وسرقة البيانات قبل أن ينشروا برامج الفدية في النهاية، بحسب تحذير بياتزا.

ورصدت Unit 42 مجرمي برامج الفدية وهم يصيبون مؤسسات في قطاعات التعليم والخدمات المالية والرعاية الصحية والتقنية العالية والضيافة والتصنيع والخدمات المهنية والقانونية والحكومة والنقل والخدمات اللوجستية والمرافق والطاقة، وقطاعات الجملة والتجزئة.

وحذر محللو استخبارات ReliaQuest أيضاً من أن مجموعات تهديد متعددة، بما فيها مشغلو برامج الفدية Settra، يستغلون الخلل للحصول على وصول أولي إلى شبكات الشركات عبر جلسات VPN غير مصرح بها.

هجمات طبقة المحاكاة الافتراضية

ولاحظ بياتزا أن أبرز تطور في الأساليب هو التحول المباشر إلى طبقة المحاكاة الافتراضية. ففي حالة لافتة، انتقل المهاجمون من بوابة VPN مخترقة إلى جهاز إدارة vCenter. ومن هناك، عطلوا الضوابط الأمنية على المراقبات الافتراضية ESXi واستخدموا أداة مخصصة لتفريغ بيانات الاعتماد دون اتصال مباشرة ضد القرص الافتراضي لمتحكم المجال.

وأضاف بياتزا أن هذا النهج يسمح للمهاجمين بتجاوز منتجات الكشف والاستجابة لنقاط النهاية داخل الضيف، ويمثل وسيلة عالية التعقيد لسرقة بيانات الاعتماد على مستوى المجال بأكمله.

كما رصدت Unit 42 مجرمين يربطون هذا الاستغلال المستخدم للوصول الأولي بثغرات أخرى، مثل CVE-2023-27532 التي تستهدف البنية التحتية للنسخ الاحتياطي Veeam.

التوصيات

وينبغي على المؤسسات التي لم تصحح بعد برنامج PAN-OS المعرض للخطر أن تفعل ذلك فوراً وتتحقق مما إذا كان المهاجمون قد حصلوا بالفعل على وصول إلى شبكاتها. وقد نشرت Unit 42 مؤشرات الاختراق للمساعدة في أنشطة البحث عن التهديدات.

ولم ترد Palo Alto Networks على الاستفسارات حول الهجمات، بما في ذلك عدد المؤسسات التي أصيبت.

المصادر: The Register