Haziran'dan Beri Palo Alto PAN-OS Açığından Birden Fazla Fidye Yazılımı Grubu Yararlanıyor

Birden fazla fidye yazılımı grubu, en az Haziran başından bu yana Palo Alto Networks'in PAN-OS yazılımındaki yüksek şiddetteki bir kimlik doğrulama atlama açığından aktif olarak yararlanıyor; bu bilgi satıcının danışmanlık ve olay müdahale bölümü olan Unit 42'den geliyor. Saldırılar finans, sağlık ve imalat dahil çok sayıda sektördeki kuruluşları etkiledi.

Açık ve İstismar Zaman Çizelgesi

CVE-2026-0257, PAN-OS GlobalProtect portallarını ve ağ geçitlerini etkiliyor; saldırganların güvenlik kısıtlamalarını atlamasına ve yetkisiz VPN bağlantıları kurmasına olanak tanıyabilir. Palo Alto Networks, 13 Mayıs'ta açığı açıkladı ve yama uyguladı; başlangıçta orta şiddette olarak derecelendirdi ve açığı istismar girişimlerinin farkında olduğunu ancak kötü amaçlı bir istismar görmediğini belirtti.

Bu değerlendirme hızla değişti. Mayıs sonuna gelindiğinde Rapid7 araştırmacıları, birden fazla müşteri ortamında başarılı istismar gözlemlediklerini bildirdi; faaliyet en az 17 Mayıs'tan beri uzanıyordu.

Fidye Yazılımı Grupları ve Taktikleri

Unit 42'nin tehdit istihbaratı üst düzey müdürü Andy Piazza, saldırganların kurumsal ağlara ilk giriş elde etmek için açıktan yararlandığını, ardından çok faktörlü kimlik doğrulama kontrollerini atlayarak VPN oturumu kurduğunu söyledi. Qilin ve Inc dahil fidye yazılımı ekipleri CVE'yi hedeflemeye devam ediyor, diye ekledi.

Piazza, ilk erişimi sağladıktan sonra suçluların Uzak Masaüstü Protokolü ve Sunucu Mesaj Bloğu kullanarak ağlar arası yanal hareket ettiklerini, son olarak fidye yazılımı dağıtmadan önce kimlik bilgisi toplama ve veri hırsızlığı için ek kötü amaçlı yazılımlar bıraktıklarını uyardı.

Unit 42, fidye yazılımı suçlularının eğitim, finansal hizmetler, sağlık, yüksek teknoloji, konaklama, imalat, profesyonel ve yasal hizmetler, devlet, ulaşım ve lojistik, kamu hizmetleri ve enerji, toptan ve perakende sektörlerindeki kuruluşları bulaştırdığını gözlemledi.

ReliaQuest istihbarat analistleri de Settra fidye yazılımı operatörleri dahil birden fazla tehdit grubunun, yetkisiz VPN oturumları aracılığıyla kurumsal ağlara ilk erişim kazanmak için açıktan yararlandığını uyardı.

Sanallaştırma Katmanı Saldırıları

Piazza, taktiklerdeki en önemli evrimin doğrudan sanallaştırma katmanına geçiş olduğunu belirtti. Kayda değer bir olayda saldırganlar, ele geçirilmiş bir VPN ağ geçidinden vCenter yönetim cihazına geçtiler. Oradan, ESXi hipervizörlerindeki güvenlik kontrollerini devre dışı bıraktılar ve bir etki alanı denetleyicisinin sanal diski doğrudan hedefleyen çevrimdışı kimlik bilgisi dökümü yapmak için özel bir araç kullandılar.

Bu yaklaşım, saldırganların konuk içi uç nokta algılama ve yanıt ürünlerini atlamasına olanak tanır ve etki alanı genelindeki kimlik bilgilerini çalmanın son derece sofistike bir yöntemini temsil ediyor, diye ekledi Piazza.

Unit 42 ayrıca, suçluların ilk erişim için bu istismarı Veeam yedek altyapısını hedefleyen CVE-2023-27532 gibi diğer açıklarla birleştirdiğini gözlemledi.

Öneriler

Güvenlik açığı bulunan PAN-OS yazılımına henüz yama uygulamamış kuruluşlar bunu derhal yapmalı ve saldırganların ağlarına zaten erişip erişmediğini araştırmalı. Unit 42, tehdit avcılığı faaliyetlerine yardımcı olmak için ihlal göstergelerini yayınladı.

Palo Alto Networks, saldırılarla ilgili sorgulara yanıt vermedi; bu sorgular arasında kaç kuruluşun bulaşmış olduğu da vardı.

Kaynaklar: The Register