Оператори на рансъмуер експлоатират уязвимост в Palo Alto Networks GlobalProtect VPN, за да заобиколят многофакторната автентикация (MFA) и да проникнат в корпоративни мрежи. В един от разследваните случаи атакуващите са достигнали до системи за управление на VMware и са откраднали идентификационни данни директно от виртуалния диск на домейн контролер, избягвайки инструментите за сигурност, работещи вътре във виртуалната машина.

Екипът Unit 42 на Palo Alto Networks описа подробно дейността в актуализация на бюлетина си за заплахи от 19 октомври. Изследователите свързват експлоатацията на CVE-2026-0257 с групите Spikey Scorpius (известна още като Qilin) и Tarnished Scorpius (известна още като Inc). Отделни публични доклади свързват експлоатацията и с оператори, използващи рансъмуера Settra.

Разследванията, водени от началото на юни, обхващат здравеопазването, образованието, финансовите услуги, производството, държавния сектор, енергетиката и други сектори. Последните констатации показват как неоторизираният VPN достъп може да прерасне в кражба на идентификационни данни, източване на данни и разгръщане на рансъмуер.

Уязвимост в GlobalProtect заобикаля MFA

Уязвимостта засяга портали и шлюзове на GlobalProtect в определени внедрявания на PAN-OS и Prisma Access. Засягането изисква да са активирани бисквитки за пренаписване на автентикацията (authentication override cookies) заедно с уязвима конфигурация на сертификатите. Palo Alto Networks оценява дефекта като висок (High), с CVSS резултат от 7.8 и най-висока степен на спешност за предприемане на мерки. Panorama и Cloud NGFW не са засегнати.

Бисквитките за пренаписване на автентикацията позволяват на предварително автентикирани потребители да се свържат отново, без да повтарят пълния процес на вход. Според техническия анализ на Rapid7 уязвимите устройства декриптират тези бисквитки, но не проверяват правилно дали са създадени от надеждна система.

Ако сертификатът за бисквитките се използва повторно за публично достъпна услуга, атакуващите могат да получат публичния му ключ и да фалшифицират бисквитка. Шлюзът може да приеме тази бисквитка като доказателство за автентикация, разрешавайки VPN връзка без стандартните проверки за вход и MFA. Cybersecurity News вече съобщи за това заобикаляне на автентикацията в GlobalProtect.

След като установят достъп, атакуващите използват инструменти за отдалечено наблюдение и управление (RMM), за да разузнават вътрешните мрежи. Те се придвижват между системите чрез Remote Desktop Protocol (RDP) и Server Message Block (SMB), след което подготвят инструменти за извличане на идентификационни данни, кражба на данни и разгръщане на рансъмуер.

Най-забележителният случай включва преминаване от компрометирания VPN шлюз към софтуера за управление vCenter на VMware. След това атакуващите са деактивирали защитната контрола execInstalledOnly на ESXi хостовете и са използвали специализиран инструмент, за да извлекат офлайн идентификационни данни от VMDK виртуалния диск на домейн контролер. От Unit 42 не посочват името на инструмента, нито предоставят подробности за неговата реализация.

Четенето на идентификационни данни директно от диска заобикаля системите за засичане и отговор на крайни точки (EDR), работещи в засегнатата виртуална машина. Този подход атакува инфраструктурата под операционната система, вместо да разчита на злонамерена програма за кражба на пароли, изпълняваща се вътре в нея. Cybersecurity News вече е докладвал за атаки срещу VMware, включващи отделени дискове на домейн контролери.

От Unit 42 също така наблюдават, че атакуващите комбинират този първоначален достъп с инструменти, насочени срещу резервни копия на Veeam чрез уязвимостта CVE-2023-27532. Тази отделна уязвимост може да разкрие криптирани идентификационни данни, съхранявани в базата данни с конфигурации на резервните копия, потенциално осигурявайки достъп до хостовете за бекъп.

Защитниците трябва да анализират логовете на GlobalProtect за успешни събития gateway-connected, свързани със съмнителни източници и данни на клиенти. Докладваните индикатори включват 104.207.144[.]154, 146.19.216[.]125, имена на устройства GP-CLIENT и DESKTOP-GP01, както и хост идентификатори aa:bb:cc:dd:ee:ff и 00:11:22:33:44:55. По-ранният мониторинг показва, че много от опитите не са установили пълни VPN сесии, което прави събитията за свързване изключително важни при разследването.

Организациите трябва да следват препоръките на Palo Alto Networks и да обновят всеки засегнат портал и шлюз. Временните мерки включват деактивиране на пренаписването на автентикацията или генериране на нов сертификат, предназначен единствено за бисквитките за автентикация.