Peisajul amenințărilor
O vulnerabilitate de severitate ridicată în software-ul firewall PAN-OS de la Palo Alto Networks a trecut de la stadiul de problemă teoretică la un coșmar operațional pentru organizațiile din întreaga lume. Începând din iunie, mai multe grupări de ransomware, în special celebrele Qilin și Inc, au exploatat activ o eroare de evitare a autentificării identificată drept CVE-2026-0257. Această vulnerabilitate vizează în mod specific portalurile și gateway-urile GlobalProtect, oferind atacatorilor posibilitatea de a ocoli protocoalele de securitate și de a stabili conexiuni VPN ilicite.
Deși Palo Alto Networks a lansat un patch pentru această problemă încă de la jumătatea lunii mai, evaluându-l inițial ca având un risc moderat, situația s-a deteriorat rapid. Cercetătorii în securitate de la Rapid7 au raportat tentative de exploatare reușite încă din 17 mai, iar în lunile care au urmat, amploarea atacurilor a crescut semnificativ. Conform rapoartelor Unit 42, echipa de intervenție la incidente a furnizorului, atacatorii folosesc acest punct de acces pentru a pătrunde în rețelele corporative, ulterior dezactivând sistematic controalele de autentificare multifactor (MFA).
Anatomia unui atac
Odată ce pătrund în rețea, acești atacatori dau dovadă de o sofisticare tehnică remarcabilă. Deplasându-se lateral prin Remote Desktop Protocol (RDP) și Server Message Block (SMB), infractorii colectează credențiale și instalează sarcini utile (payloads) secundare de tip malware. Mai alarmant, analiștii au observat atacatori care țintesc direct stratul de virtualizare. Compromițând aplicațiile de gestionare vCenter, aceștia au reușit să dezactiveze măsurile de securitate pe hypervizorul ESXi, utilizând instrumente personalizate pentru a extrage credențiale direct din discurile virtuale ale controlerelor de domeniu.
Această metodologie reprezintă o evoluție semnificativă a tacticilor folosite, permițând adversarilor să ocolească agenții tradiționali de detectare și răspuns la nivel de endpoint (EDR) care rulează în sistemele de operare invitate. Mai mult, Unit 42 raportează că aceste grupări combină acest exploit cu vulnerabilități mai vechi, cum ar fi cele care vizează infrastructura de backup Veeam, pentru a maximiza impactul și a asigura accesul persistent în mediul vizat.
De ce este important
Frecvența acestor atacuri subliniază importanța critică a managementului patch-urilor în infrastructurile enterprise. Deoarece vulnerabilitatea vizează gateway-ul rețelei, o breșă reușită oferă atacatorului acces de nivel înalt la date sensibile și sisteme critice. Spectrul larg al victimelor — de la sectorul medical și financiar, până la guvernamental și cel al utilităților — demonstrează că nicio industrie nu este în siguranță. Organizațiile care nu au aplicat actualizările de firmware necesare sau nu au efectuat un audit criminalistic amănunțit sunt în prezent expuse unui risc sever, în timp ce atacatorii continuă să scaneze și să exploateze instanțele GlobalProtect neactualizate pentru a facilita exfiltrarea datelor și implementarea ransomware-ului.
Acțiuni recomandate
- Actualizați imediat toate instanțele PAN-OS la cea mai recentă versiune recomandată de Palo Alto Networks.
- Consultați lista de indicatori de compromitere (IoC) oferită de Unit 42 pentru a efectua o căutare activă a amenințărilor în cadrul rețelei.
- Investigați orice anomalii în jurnalele VPN, în special sesiunile reușite care au evitat finalizarea procesului MFA legitim.
- Evaluați infrastructura virtuală, în special configurațiile vCenter și ESXi, pentru semne de acces neautorizat sau modificări ale politicilor de securitate.
