Bir çox ransomver qrupu Palo Alto PAN-OS çatışmazlığından iyun ayından etibarən istifadə edir

Palo Alto Networks-in konsaltinq və hadisələrə reaksiya şöbəsi olan Unit 42-yə görə, bir çox ransomver qrupu ən azı iyun ayının əvvəlindən etibarən PAN-OS proqram təminatındakı yüksək təhlükə səviyyəli autentifikasiyadan yan keçmə zəifliyindən fəal şəkildə istifadə edir. Hücumlar maliyyə, sağlamlıq və istehsalat daxil olmaqla bir çox sənayedəki təşkilatları toxunub.

Çatışmazlıq və İstifadə Xronologiyası

CVE-2026-0257 PAN-OS GlobalProtect portallarına və şlüzlərinə təsir edir, hücumçuların təhlükəsizlik məhdudiyyətlərini keçərək icazəsiz VPN bağlantıları qurmasına imkan verir. Palo Alto Networks 13 mayda bu çatışmazlığı açıqlayıb düzəliş yayıb, ilkin olaraq orta ciddiyyət dərəcəsi verib və ondan istifadə cəhdlərindən xəbərdar olduğunu, lakin heç bir zərərli istifadə müşahidə etmədiyini bildirib.

Bu qiymətləndirmə tez dəyişdi. Mayın sonuna qədər Rapid7 tədqiqatçıları ən azı 17 maydan etibarən aktivlik olmaqla bir çox müştəri mühitində uğurlu istifadəni müşahidə etdiklərini bildirdilər.

Ransomver Qrupları və Taktikaları

Unit 42-nin təhdid intellijensinin baş direktoru Andy Piazza bildirib ki, hücumçular korporativ şəbəkələrə ilkin giriş əldə etmək üçün bu çatışmazlıqdan istifadə edirlər, daha sonra çoxfaktorlu autentifikasiya nəzarətlərini aşaraq VPN sessiyası qururlar. Qilin və Inc daxil olmaqla ransomver qrupları bu CVE-yə hücum etməyə davam edir, o əlavə etdi.

Piazza xəbərdarlıq etdi ki, ilkin giriş əldə etdikdən sonra cinayətkarlar Remote Desktop Protocol və Server Message Block istifadə edərək şəbəkələr üzrə yanal hərəkət edir, hesab məlumatlarının toplanması və məlumat oğurluğu üçün əlavə zərərli proqramlar yerləşdirir və nəhayət ransomveri işə salırlar.

Unit 42 təhsil, maliyyə xidmətləri, sağlamlıq, yüksək texnologiya, qonaqpərvərlik, istehsalat, peşəkar və hüquqi xidmətlər, dövlət, nəqliyyat və logistika, kommunal xidmətlər və energetika, topdan və pərakəndə satiş sektorlarında ransomver cinayətkarlarının təşkilatları infeksiya etdiyini müşahidə edib.

ReliaQuest intellijens analitikləri də Settra ransomver operatorları daxil olmaqla bir çox təhdid qrupunun korporativ şəbəkələrə icazəsiz VPN sessiyaları vasitəsilə ilkin giriş əldə etmək üçün bu çatışmazlıqdan istifadə etməsi barədə xəbərdarlıq etdi.

Virtualizasiya Qatına Hücumlar

Piazza qeyd etdi ki, taktikadakı ən əhəmiyyətli inkişaf birbaşa virtualizasiya qatına keçiddir. Bir diqqətəlayiq halda, hücumçular komprometə olunmuş VPN şlüzundan vCenter idarəetmə cihazına keçiblər. Oradan onlar ESXi hipervizorlarındakı təhlükəsizlik nəzarətlərini söndürüb və domen nəzarətçisinin virtual diskindən birbaşa oflayn hesab məlumatlarını çıxarmaq üçün xüsusi alətdən istifadə ediblər.

Piazza əlavə etdi ki, bu yanaşma hücumçulara in-guest endpoint detection and response məhsullarını bypass etməyə imkan verir və domain üzərindəki hesab məlumatlarını oğurlamağın yüksək dərəcədə mürəkkəb üsul təşkil edir.

Unit 42, həmçinin cinayətkarların ilkin giriş üçün bu çatışmazlığı digər zəifliklərə, məsələn Veeam backup infrastrukturunu hədəf alan CVE-2023-27532 ilə zəncirləməsini müşahidə edib.

Tövsiyələr

Hələ də zəif PAN-OS proqram təminatına düzəliş tətbiq etməmiş təşkilatlar dərhal bunu etməli və hücumçuların şəbəkələrinə artıq giriş edib-etmədiyini araşdırmalıdır. Unit 42, təhdid axtarışı fəaliyyətlərinə kömək etmək üçün komprometasiya indikatorları yayımlayıb.

Palo Alto Networks, hücumlar, o cümlədən neçə təşkilatın yoluxduğu haqqında sorğulara cavab vermədi.

Mənbələr: The Register