Кілька груп програм-вимагачів експлуатують вразливість PAN-OS від Palo Alto з червня

За даними Unit 42, підрозділу консалтингу та реагування на інциденти постачальника, кілька груп програм-вимагачів активно експлуатують вразливість обходу автентифікації високої критичності в PAN-OS від Palo Alto Networks щонайменше з початку червня. Атаки зачепили організації багатьох галузей: фінансів, охорони здоров'я, виробництва.

Вразливість і хронологія експлуатації

CVE-2026-0257 стосується порталів і шлюзів PAN-OS GlobalProtect і потенційно дозволяє зловмисникам обходити обмеження безпеки та встановлювати несанкціоновані VPN-з'єднання. Palo Alto Networks розкрила та закрила вразливість 13 травня, спочатку присвоївши середню критичність і заявивши, що знає про спроби експлуатації, але не спостерігала зловмисної експлуатації.

Ця оцінка швидко змінилася: на кінець травня дослідники Rapid7 повідомили про успішну експлуатацію в багатьох середовищах клієнтів, і активність сягає щонайменше 17 травня.

Групи програм-вимагачів і тактики

Енді П'яцца, старший директор з розвідки загроз Unit 42, заявив, що зловмисники використовують вразливість для початкового доступу до корпоративних мереж, а потім обходять багатофакторну автентифікацію для встановлення VPN-сесії. Угруповання програм-вимагачів, зокрема Qilin та Inc, продовжують цілитися в цю CVE, додав він.

Після початкового доступу злочинці латерально рухаються мережами через Remote Desktop Protocol та Server Message Block, встановлюючи додаткове шкідливе ПЗ для збору облікових даних і крадіжки даних, перш ніж розгорнути програму-вимагач, попередив П'яцца.

Unit 42 спостерігала зараження організацій програмами-вимагачами в галузях освіти, фінансів, охорони здоров'я, високих технологій, готельного бізнесу, виробництва, професійних і юридичних послуг, державного сектора, транспорту та логістики, комунальних послуг і енергетики, а також оптової та роздрібної торгівлі.

Аналітики ReliaQuest також попередили, що кілька груп загроз, зокрема оператори Settra, експлуатують вразливість для початкового доступу до корпоративних мереж через несанкціоновані VPN-сесії.

Атаки на рівень віртуалізації

П'яцца зазначив, що найбільш значна еволюція тактики полягає в прямому переході на рівень віртуалізації. В одному примітному випадку зловмисники перейшли від скомпрометованого VPN-шлюзу до пристрою керування vCenter, вимкнули засоби безпеки на гіпервізорах ESXi та власним інструментом виконали офлайн-дамп облікових даних безпосередньо з віртуального диска контролера домену.

Цей підхід дозволяє обходити засоби виявлення та реагування на кінцевих точках усередині гостьової ОС і є дуже витонченим методом крадіжки облікових даних у масштабах домену, додав П'яцца.

Unit 42 також бачила, як зловмисники поєднують цей експлойт для початкового доступу з іншими вразливостями, зокрема CVE-2023-27532, націлену на інфраструктуру резервного копіювання Veeam.

Рекомендації

Організації, які ще не усунули вразливість в PAN-OS, повинні зробити це негайно та перевірити, чи зловмисники вже отримали доступ до їхніх мереж. Unit 42 опублікувала індикатори компрометації для допомоги у пошуку загроз.

Palo Alto Networks не відповіла на запити про атаки, зокрема про кількість заражених організацій.

Джерела: The Register