რამდენიმე გამოსასყიდი პროგრამის ჯგუფი Palo Alto Networks-ის PAN-OS-ის ხარვეზს ივნისიდან იყენებს

რამდენიმე გამოსასყიდი პროგრამის ჯგუფი მინიმუმ ივნისის დასაწყისიდან აქტიურად იყენებს Palo Alto Networks-ის PAN-OS პროგრამულ უზრუნველყოფაში არსებულ ავთენტიფიკაციის გვერდის ავლის მაღალი რისკის მქონე ხარვეზს, განაცხადა კომპანიის კონსულტაციისა და ინციდენტებზე რეაგირების დივიზიონმა Unit 42-მა. შეტევები შეეხო სხვადასხვა დარგის ორგანიზაციებს, მათ შორის ფინანსურ, ჯანდაცვისა და წარმოების სექტორებს.

ხარვეზი და გამოყენების ქრონოლოგია

CVE-2026-0257 ეხება PAN-OS GlobalProtect-ის პორტალებსა და გეითვეებს და შესაძლოა თავდამსხმელებმა გვერდი აუარონ უსაფრთხოების შეზღუდვებს და დაამყარონ არაავტორიზებული VPN-კავშირები. Palo Alto Networks-მა ხარვეზი 13 მაისს გაასაჯაროვა და გამოასწორა, თავდაპირველად საშუალო სიმძიმის რეიტინგი მიანიჭა და განაცხადა, რომ მისი გამოყენების მცდელობების შესახებ იცოდა, თუმცა მავნე ექსპლუატაცია არ დაუფიქსირებია.

შეფასება მალევე შეიცვალა. მაისის ბოლოსთვის Rapid7-ის მკვლევარებმა წარმატებული ექსპლუატაცია დააფიქსირეს მრავალ მომხმარებლის გარემოში, აქტივობა კი მინიმუმ 17 მაისიდან მოდის.

გამოსასყიდი პროგრამების ჯგუფები და ტაქტიკა

Unit 42-ის საფრთხეების დაზვერვის უფროსი დირექტორის ენდი პიაცას თქმით, თავდამსხმელები ხარვეზს კორპორატიულ ქსელებში საწყისი საყრდენის მოსაპოვებლად იყენებენ, შემდეგ MFA-ის კონტროლს გვერდს უვლიან და VPN-სესიას ამყარებენ. მისი თქმით, გამოსასყიდი პროგრამების ჯგუფები, მათ შორის Qilin და Inc, კვლავ სამიზნედ ირჩევენ CVE-2026-0257 ხარვეზს.

საწყისი წვდომის შემდეგ დამნაშავეები ქსელში გვერდით გადაადგილებისთვის იყენებენ RDP-სა და SMB-ს, ათავსებენ დამატებით მავნე პროგრამებს ავტორიზაციის მონაცემების შესაგროვებლად და მონაცემების მოსაპარვად, საბოლოოდ კი ავრცელებენ გამოსასყიდ პროგრამას, გააფრთხილა პიაცამ.

Unit 42-მა დააფიქსირა, რომ დამნაშავეები აინფიცირებენ ორგანიზაციებს განათლების, ფინანსური მომსახურების, ჯანდაცვის, მაღალი ტექნოლოგიების, სტუმართმოყვარეობის, წარმოების, პროფესიული და სამართლებრივი მომსახურების, სახელმწიფო სექტორის, ტრანსპორტისა და ლოგისტიკის, კომუნალური მომსახურებისა და ენერგეტიკის, საბითუმო და საცალო ვაჭრობის სექტორებში.

ReliaQuest-ის ანალიტიკოსებმა ასევე გააფრთხილეს, რომ მრავალი საფრთხის ჯგუფი, მათ შორის Settra-ს გამოსასყიდი პროგრამის ოპერატორები, ხარვეზს იყენებენ კორპორატიულ ქსელებში საწყისი წვდომის მისაღებად არაავტორიზებული VPN-სესიებით.

ვირტუალიზაციის ფენაზე შეტევები

პიაცამ აღნიშნა, რომ ტაქტიკაში ყველაზე მნიშვნელოვანი ცვლილება ვირტუალიზაციის ფენაზე პირდაპირი გადასვლაა. ერთ აღსანიშნავ შემთხვევაში თავდამსხმელები კომპრომეტირებული VPN-გეითვეიდან vCenter-ის მართვის აპლიანსზე გადავიდნენ, იქიდან ESXi ჰიპერვიზორებზე უსაფრთხოების კონტროლი გამორთეს და მორგებული ხელსაწყოთი ოფლაინ რეჟიმში ავტორიზაციის მონაცემები უშუალოდ დომენის კონტროლერის ვირტუალურ დისკზე ამოიღეს.

პიაცას თქმით, ეს მიდგომა თავდამსხმელებს საშუალებას აძლევს გვერდი აუარონ სტუმარ სისტემაში მოქმედ EDR პროდუქტებს და წარმოადგენს დომენის მასშტაბით ავტორიზაციის მონაცემების მოპარვის უაღრესად დახვეწილ მეთოდს.

Unit 42-მა ასევე დააფიქსირა, რომ დამნაშავეები ამ ექსპლუატაციას საწყისი წვდომისთვის სხვა ხარვეზებსაც უკავშირებენ, მაგალითად CVE-2023-27532, რომელიც Veeam-ის სარეზერვო ინფრასტრუქტურას ეხება.

რეკომენდაციები

ორგანიზაციებმა, რომლებსაც ჯერ არ გამოუსწორებიათ დაუცველი PAN-OS პროგრამული უზრუნველყოფა, ეს დაუყოვნებლივ უნდა გააკეთონ და გამოიკვლიონ, უკვე მოიპოვეს თუ არა თავდამსხმელებმა წვდომა მათ ქსელებზე. Unit 42-მა გამოაქვეყნა კომპრომეტაციის ინდიკატორები საფრთხეების ძიებისთვის.

Palo Alto Networks-მა არ უპასუხა შეტევებთან დაკავშირებულ კითხვებს, მათ შორის იმას, რამდენი ორგანიზაციაა ინფიცირებული.

წყაროები: The Register