سیستم عامل فایروال Palo Alto از ماه ژوئن مورد حمله چندین گروه باج افزار قرار گرفته است

چندین گروه باج‌افزار، از جمله Qilin و Inc، از یک باگ دور زدن احراز هویت با شدت بالا در PAN-OS شبکه‌های Palo Alto استفاده می‌کنند و واحد 42 در حال بررسی حملات از اوایل ژوئن در بسیاری از صنایع، مانند امور مالی، مراقبت‌های بهداشتی، و تولید است.

CVE-2026-0257 بر پورتال ها و دروازه های PAN-OS GlobalProtect تأثیر می گذارد و به طور بالقوه به مهاجمان اجازه می دهد محدودیت های امنیتی را دور بزنند و یک اتصال VPN غیرمجاز ایجاد کنند.

فروشنده امنیتی ابتدا این باگ را در 13 مه فاش و اصلاح کرد و در ابتدا به آن درجه بندی با شدت متوسط ​​داد و گفت که از تلاش برای سوء استفاده از آن آگاه است اما هیچ سوء استفاده مخربی مشاهده نکرده است.

این ارزیابی به سرعت تغییر کرد و در پایان ماه، محققان Rapid7 گفتند که بهره‌برداری موفقیت‌آمیز را در چندین محیط مشتری مشاهده کردند که حداقل به 17 می بازمی‌گردد.

روز دوشنبه، بخش مشاوره و پاسخ به حوادث Palo Alto Networks، واحد 42، گفت که خدمه باج افزار از جمله Qilin و Inc همچنان به CVE ضربه می زنند.

اندی پیازا، مدیر ارشد اطلاعات تهدید در واحد 42 گفت: «مهاجمین از این آسیب‌پذیری برای به دست آوردن جایگاه اولیه در شبکه‌های شرکتی استفاده می‌کنند و متعاقبا کنترل‌های احراز هویت چندعاملی (MFA) را دور می‌زنند تا یک جلسه VPN ایجاد کنند.

پیازا هشدار داد پس از دستیابی اولیه، مجرمان با استفاده از پروتکل دسکتاپ از راه دور و بلوک پیام سرور (SMB) به صورت جانبی در سراسر شبکه ها حرکت می کنند و بدافزارهای اضافی را برای جمع آوری اعتبار و سرقت اطلاعات قبل از در نهایت استقرار باج افزار حذف می کنند.

در تحقیقات در حال انجام خود، واحد 42 مجرمان باج‌افزاری را شناسایی کرده است که «صنایع متعددی از جمله آموزش، خدمات مالی، مراقبت‌های بهداشتی، فناوری پیشرفته، مهمان‌نوازی، تولید، خدمات حرفه‌ای و قانونی، دولت، حمل‌ونقل و تدارکات، تاسیسات و انرژی، و عمده‌فروشی و خرده‌فروشی را آلوده کرده‌اند».

شبکه‌های پالو آلتو به پرسش‌های The Register درباره این حملات، از جمله تعداد سازمان‌هایی که آلوده شده‌اند، پاسخی نداد.

علاوه بر این، تحلیلگران Intel ReliaQuest هشدار دادند که «گروه‌های تهدید متعدد» از جمله اپراتورهای باج‌افزار Settra نیز از این باگ برای دسترسی اولیه به شبکه‌های شرکتی از طریق جلسات VPN غیرمجاز سوء استفاده می‌کنند.

پیازا نوشت: «مهم‌ترین تحول در تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTP) پس از بهره‌برداری موفقیت‌آمیز از CVE-2026-0257، محور مستقیم لایه مجازی‌سازی است. "در یک مورد قابل توجه، مهاجمان از دروازه VPN آسیب‌دیده به ابزار مدیریت vCenter منتقل شدند. از آنجا، آنها کنترل‌های امنیتی روی هایپروایزرهای ESXi (execInstalledOnly) را غیرفعال کردند و از یک ابزار سفارشی برای انجام تخلیه اعتبار آفلاین مستقیما بر روی دیسک مجازی کنترل‌کننده دامنه (VMDK) استفاده کردند.

او افزود که این به افراد نابکار اجازه می‌دهد تا محصولات شناسایی و پاسخ‌دهی نقطه پایانی درون مهمان را دور بزنند و نشان‌دهنده «روشی بسیار پیچیده» برای سرقت اعتبارنامه‌های دامنه گسترده است.

واحد 42 همچنین مجرمانی را شناسایی کرده است که این اکسپلویت را برای دسترسی اولیه با آسیب‌پذیری‌های دیگری مانند CVE-2023-27532، که زیرساخت‌های پشتیبان Veeam را هدف قرار می‌دهند، به زنجیر می‌کنند.

بنابراین اگر قبلا نرم‌افزار PAN-OS آسیب‌پذیر را وصله نکرده‌اید، اکنون این کار را انجام دهید - و بررسی کنید که آیا مهاجمان قبلا به شبکه شما دسترسی پیدا کرده‌اند یا خیر. برای کمک به فعالیت‌های شکار تهدید، شاخص‌های سازش واحد 42 را بررسی کنید