Բազմաթիվ ռանսոմգործիկային խմբեր շահագործում են Palo Alto PAN-OS խոցելիությունը արդեն հունիսից
Unit 42 քննում է CVE-2026-0257 շահագործումները PAN-OS GlobalProtect հարթակում՝ այնպիսի ռանսոմգործիկային խմբերի հետ, ինչպիսին են Qilin եւ Inc, որոնք նպատակ են դնում բազմաթիվ ոլորտների կազմակերպություններին։
Խոցելիությունը եւ շահագործման ժամանակագրությունը
CVE-2026-0257 ազդում է PAN-OS GlobalProtect պորտալներին եւ դարպասներին, ինչը հնարավորություն է ընձեռնում հարձակողներին շրջանցել անվտանգության սահմանափակումները եւ ստեղծել չլիազորված VPN կապեր։ Palo Alto Networks-ը բացահայտել եւ շտկել է խոցելիությունը 13 մայիսին, սկզբում նրան տվել է միջին ծանրագույնի գնահատում եւ հայտնել, որ գիտի դրա շահագործման փորձերի մասին, սակայն չի դիտել դրա չարամիտ շահագործում։
Այդ գնահատականը արագ փոխվեց։ Մայիսի վերջին Rapid7 հետազոտողները հաղորդել են հաջող շահագործման դիտումների մասին մի քանի հաճախորդի միջավայրում, ընդ որում գործունեությունը սկսվել է առնվազն 17 մայիսից։
Ռանսոմգործիկային խմբեր եւ տակտիկա
Unit 42 հետախուզական տեղեկատվության ավագ տնօրեն Էնդի Պիացցան ասաց, որ հարձակողները շահագործում են խոցելիությունը՝ սկզբնական հենակետ ձեռք բերելու համար կորպորատիվ ցանցերում, իսկ հետո շրջանցելով բազմագործոն նույնականացման վերահսկողությունը՝ VPN աշխատաշրջան հաստատելու համար։ Նա ավելացրեց, որ Qilin եւ Inc նման ռանսոմգործիկային թիմերը շարունակում են թիրախավորել CVE-2026-0257-ն։
Սկզբնական մուտք ստանալուց հետո հանցագործները հորիզոնական կերպով տեղափոխվում են ցանցերում՝ օգտագործելով RDP եւ SMB արձանագրությունները, լրացուցիչ չարագործ ծրագիր են տեղադրում նույնականացման տվյալների հավաքման եւ տվյալների գողացման համար, նախքան վերջնական փուլում ռանսոմգործիկի տեղադրումը, զգուշացրեց Պիացցան։
Unit 42-ն դիտել է, որ ռանսոմգործիկային հանցագործները վարակում են կազմակերպությունները կրթության, ֆինանսական ծառայությունների, առողջապահության, բարձր տեխնոլոգիական, հյուրընկալության, արտադրության, մասնագիտական եւ իրավական ծառայությունների, կառավարության, տրանսպորտի եւ լոգիստիկայի, կոմունալ ծառայությունների եւ էներգետիկայի, ինչպես նաև մեծածախ եւ մանրածախ առևտրի ոլորտներում։
ReliaQuest հետախուզական տեղեկատվության վերլուծաբանները նույնպես զգուշացրին, որ մի քանի վտանգային խմբեր, այդ թվում Settra ռանսոմգործիկի օպերատորները, շահագործում են այս վրիպակը՝ ձեռք բերելու սկզբնական մուտք կորպորատիվ ցանցեր՝ չլիազորված VPN աշխատաշրջանների միջոցով։
Վիրտուալացման շերտի հարձակումներ
Պիացցան նշեց, որ տակտիկայի ամենակարեւոր փոփոխությունն այն է, որ անմիջապես անցնում են վիրտուալացման շերտին։ Մեկ ուշագրավ դեպքում հարձակողները տեղափոխվել են գրավված VPN դարպասից vCenter կառավարման սարքին։ Այնտեղից նրանք անջատել են ESXi հիպերվիզորների անվտանգության վերահսկողությունը եւ օգտագործել հատուկ գործիք՝ անցանց ռեժիմում նույնականացման տվյալների դումպ կատարելու ուղղակիորեն տիրույթի կոնտրոլլերի վիրտուալ սկավառակին։
Այս մոտեցումը հնարավորություն է ընձեռնում հարձակողներին շրջանցել հյուր համակարգի ներսում գտնվող վերջնական կետի հայտնաբերման եւ արձագանքման արտադրանքները եւ ներկայացնում է ամբողջ տիրույթի նույնականացման տվյալները գողացնելու չափազանց բարդ եղանակ, Պիացցան ավելացրեց։
Unit 42-ն նաև դիտել է, որ հանցագործները զուգորդում են այս սկզբնական մուտքի շահագործումը այլ խոցելիությունների հետ, ինչպիսին է CVE-2023-27532-ն, որը թիրախավորում է Veeam պահուստավորման ենթակառուցվածքը։
Խորհուրդներ
Կազմակերպությունները, որոնք դեռ չեն շտկել խոցելի PAN-OS ծրագրակազմը, պետք է դա անեն անմիջապես եւ հետաքննեն, թե արդյոք հարձակողները արդեն մուտք են ստացել իրենց ցանցեր։ Unit 42-ն հրապարակել է փոխզիջման ցուցիչները՝ օգնելու վտանգերի որոնման գործողություններում։
Palo Alto Networks-ը չի պատասխանել հարձակումների վերաբերյալ հարցումների, այդ թվում՝ այն մասին, թե քանի կազմակերպություն է վարակվել։
Աղբյուրներ: The Register
SiTech — AI-ով հզորացված վեբ մշակում
Ստեղծում ենք արագ ու ժամանակակից կայքեր և AI-ը ներդնում իրական բիզնես գործընթացներում։ Ունե՞ք նախագիծ կամ հարց։ Ուրախ կլինենք օգնել։