קבוצות כופרנות מרובות מנצלות פרצה ב-PAN-OS של Palo Alto מאז יוני

קבוצות כופרנות מרובות מנצלות באופן פעיל פרצת אימות בחומרה גבוהה בתוכנת PAN-OS של Palo Alto Networks לפחות מתחילת יוני, לפי Unit 42, חטיבת הייעוץ והתגובה לאירועים של היצרן. המתקפות פגעו בארגונים במגוון רחב של תעשיות, כולל פיננסים, בריאות וייצור.

הפרצה וציר הזמן של הניצול

CVE-2026-0257 משפיע על פורטלים ושערים של PAN-OS GlobalProtect, ועשוי לאפשר לתוקפים לעקוף מגבלות אבטחה וליצור חיבורי VPN לא מורשים. Palo Alto Networks חשפה ותיקנה את הפרצה ב-13 במאי, ובהתחלה דירגה אותה כבעלת חומרה בינונית וציינה כי היא מודעת לניסיונות לנצל אותה אך לא נצפתה פעילות ניצול זדוני כלשהי.

הערכה זו השתנתה במהירות. עד סוף מאי, חוקרים של Rapid7 דיווחו כי נצפתה פעילות ניצול מוצלחת בסביבות לקוחות מרובות, עם פעילות שמתוארכת לפחות מ-17 במאי.

קבוצות הכופרנות והטקטיקות

אנדי פיאצה, מנהל בכיר למודיעין איומים ב-Unit 42, אמר כי תוקפים מנצלים את הפרצה כדי להשיג נקודת כניסה ראשונית ברשתות הארגוניות, ולאחר מכן עוקפים בקרות אימות מרובה גורמים כדי ליצור חיבור VPN. צוותי כופרנות כולל Qilin ו-Inc ממשיכים לנצל את פרצת CVE, הוסיף.

לאחר קבלת גישה ראשונית, הפושעים נעים ברשתות בצורה אופקית באמצעות Remote Desktop Protocol ו-Server Message Block, משליכים תוכנות זדוניות נוספות לאיסוף אישורים וגניבת נתונים לפני שלבסוף מפעילים את תוכנת הכופרנות, הזהיר פיאצה.

Unit 42 צפתה בפושעי הכופרנות שמזהמים ארגונים במגוון סקטורים: חינוך, שירותים פיננסיים, בריאות, טכנולוגיה מתקדמת, אירוח, ייצור, שירותים מקצועיים ומשפטיים, ממשל, תחבורה ולוגיסטיקה, שירותים חיוניים ואנרגיה, וסיטונאות וקמעונאות.

אנליסטי מודיעין של ReliaQuest הזהירו גם כן שקבוצות איום מרובות, כולל מפעילי כופרנות Settra, מנצלים את הפרצה כדי לקבל גישה ראשונית לרשתות ארגוניות דרך חיבורי VPN לא מורשים.

מתקפות שכבת הוירטואליזציה

פיאצה ציין כי ההתפתחות המשמעותית ביותר בטקטיקות היא המעבר הישיר לשכבת הוירטואליזציה. במקרה בולט אחד, תוקפים עברו משער VPN שנפגע למכשיר הניהול vCenter. משם, הם נטרלו בקרות אבטחה על היפרווייזרים ESXi והשתמשו בכלי מותאם אישית כדי לבצע שאיבת אישורים לא מקוון ישירות כנגד הדיסק הוירטואלי של בקר הדומיין.

גישה זו מאפשרת לתוקפים לעקוף מוצרי זיהוי איומים ותגובה בקצה ומייצגת שיטה מתוחכמת מאוד לגניבת אישורים ברחבי הדומיין, הוסיף פיאצה.

Unit 42 צפתה גם בכך שפושעים משלבים את פרצת הניצול הראשונית הזו עם פרצות אחרות, כגון CVE-2023-27532, המכוונת לתשתית הגיבויים של Veeam.

המלצות

ארגונים שעוד לא תיקנו את תוכנת PAN-OS הפגיעה צריכים לעשות זאת מיידית ולחקור האם תוקפים כבר קיבלו גישה לרשתות שלהם. Unit 42 פרסמה מחווני פגיעה כדי לסייע בפעילויות איתור איומים.

Palo Alto Networks לא הגיבה לשאילתות לגבי המתקפות, כולל מספר הארגונים שנדבקו.

מקורות: The Register