Palo Alto Networks сообщила, что продолжает наблюдать эксплуатацию теперь уже исправленной уязвимости безопасности, затрагивающей PAN-OS и Prisma Access, со стороны программ-вымогателей.
Эта активность связана с CVE-2026-0257 (оценка CVSS: 7.8), ошибкой при обходе аутентификации, которую могут использовать злоумышленники для установки несанкционированных VPN-соединений. Он был исправлен компанией Palo Alto Networks в мае 2026 года и добавлен Агентством по кибербезопасности и инфраструктурной безопасности США (CSIA) в каталог известных уязвимостей (KEV) 13 мая 2026 года.
«Операторы программ-вымогателей, эксплуатирующие CVE-2026-0257, включают Spikey Scorpius (он же Qilin) и Tarnished Scorpius (также известный как INC)», — сообщили исследователи Unit 42 в обновлении, опубликованном в понедельник. Это событие произошло через несколько дней после того, как ReliaQuest заявила, что обнаружила как группы вымогателей Qilin, так и Settra, активно эксплуатирующие недостаток в атаках с финансовой мотивацией.
По данным Unit 42, злоумышленники используют этот дефект как оружие, чтобы получить первоначальное закрепление в корпоративных сетях, а затем обойти многофакторную аутентификацию (MFA) и создать VPN-сессию.
При настройке VPN-сессии было установлено, что злоумышленники занимаются следующими действиями после компрометации —
- Проводите внутреннюю сетевую разведку с использованием инструментов двойного назначения удалённого мониторинга и управления (RMM).
- Перемещайтесь по сети с помощью RDP и SMB.
- Поэтапно подготовьте дополнительные инструменты для сбора учетных данных, извлечения данных и развертывания программ-вымогателей.
Атаки, совершённые этими группами, были нацелены на широкий спектр секторов, включая образование, финансовые услуги, здравоохранение, высокие технологии, гостеприимство, производство, профессиональные и юридические услуги, правительство, транспорт и логистику, коммунальные услуги и энергетику, а также розничную торговлю.
«Самое значимое развитие тактики, методов и процедур (TTP) после успешного использования CVE-2026-0257 — это прямой переход к уровню виртуализации», — заявили в подразделении 42.
«В одном примечательном случае злоумышленники перешли из скомпрометированного VPN-шлюза в устройство управления vCenter. После этого они отключили системы управления безопасностью на гипервизорах ESXi (execInstalledOnly) и использовали специальный инструмент для выполнения офлайн-дампа учетных данных непосредственно на виртуальный диск контроллера домена (VMDK).»
Этот подход, добавил поставщик сетевой безопасности, обходит защиту от обнаружения и реагирования на конечных точек (EDR) и безопасности, позволяя злоумышленникам получать учетные данные на уровне всей доменной безопасности.
Также наблюдалось, что злоумышленники связывают исходный метод доступа с другими инструментами эксплойта, включая попытки нацеливаться на инфраструктуру резервного копирования Veeam с помощью известных дефектов (CVE-2023-27532) для нанесения максимального ущерба.
Стоит отметить, что эксплуатация CVE-2026-0257 компанией Qilin ранее была отмечена Arctic Wolf в июле 2026 года, с атаками от быстрых операций с использованием только шифрования до полного двойного вымогательства.
Помимо внедрения последних исправлений, Palo Alto Networks рекомендует организациям проактивно искать признаки компрометации и запускать соответствующие протоколы реагирования на инциденты, если будут обнаружены успешные события, связанные с шлюзом.
