Bezpieczeństwo · 23 października 2026
Grupy ransomware Qilin i INC wykorzystują lukę w Palo Alto Networks
Palo Alto Networks poinformowało, że nadal obserwuje wykorzystywanie przez aktorów ransomware poprawionej już luki bezpieczeństwa w produktach PAN-OS i Prisma Access. Działalność ta dotyczy identyfikatora CVE-2026-0257, który ma ocenę CVSS wynoszącą 7,8. Jest to luka pozwalająca na obejście uwierzytelniania, co umożliwia złośliwym podmiotom nawiązanie nieautoryzowanych połączeń VPN. Firma załatała błąd w maju 2026 roku, a amerykańska agencja CSIA dodała go do katalogu KEV 13 maja 2026 roku.
Badacze z Unit 42 stwierdzili, że operatorami ransomware wykorzystującymi tę lukę są grupy znane jako Spikey Scorpius, czyli Qilin, oraz Tarnished Scorpius, czyli INC. Informacja ta pojawiła się kilka dni po tym, jak ReliaQuest zgłosiła wykrycie aktywnego wykorzystywania luki przez grupy Qilin i Settra w atakach o motywacji finansowej.
Zagrożenia te instrumentalizują lukę, aby uzyskać początkowy dostęp do sieci korporacyjnych, a następnie omijają kontrole wieloskładnikowego uwierzytelniania w celu ustanowienia sesji VPN. Po nawiązaniu połączenia atakujący prowadzą działania po naruszeniu bezpieczeństwa. Ataki te miały na celu szeroki zakres sektorów, w tym edukację, usługi finansowe, opiekę zdrowotną, zaawansowane technologie, hotelarstwo, produkcję, usługi prawne, administrację rządową, transport, logistykę, energetykę oraz handel detaliczny.
Unit 42 wskazało, że najważniejszą ewolucją taktyk jest bezpośrednie przejście do warstwy wirtualizacji. W jednym z przypadków atakujący przeszli z naruszonej bramki VPN do urządzenia zarządzającego vCenter. Wyłączyli tam kontrole bezpieczeństwa na hipervisorach ESXi i użyli własnego narzędzia do pobierania poświadczeń offline bezpośrednio z wirtualnego dysku kontrolera domeny.
Podejście to pozwala omijać ochronę końcowych punktów wewnątrz maszyn wirtualnych, co umożliwia uzyskanie poświadczeń dla całego domeny. Atakujący obserwowali również łączenie początkowego dostępu z innymi narzędziami, w tym ataki na infrastrukturę backupową Veeam poprzez wykorzystanie znanych luk, aby wyrządzić maksymalne szkody. Wykorzystywanie luki przez grupę Qilin zostało wcześniej zgłoszone przez Arctic Wolf w lipcu 2026 roku, a ataki obejmowały szyfrowanie oraz podwójną szantaż.