Изследователи от Palo Alto Networks предупредиха, че оператори на рансъмуер са засилили експлоатацията на уязвимост с висока степен на опасност в портала GlobalProtect на компанията, месеци след като тя бе разкрита за първи път.

Уязвимостта за заобикаляне на автентикацията, проследявана като CVE-2026-0257, позволява на атакуващ да установи неоторизирани VPN връзки към продукта за отдалечен достъп. Проблемът има оценка за сериозност 7.8 от 10.

Изследователите предупреждават, че рансъмуер групите Qilin и INC експлоатират уязвимостта, според доклад на Unit 42 – звеното за анализ на заплахи и реагиране при инциденти на Palo Alto Networks. Компанията проследява тези групи съответно под имената Spikey Scorpius и Tarnished Scorpius.

На 9 октомври изследователи от ReliaQuest съобщиха за активност по експлоатация, свързана с множество групи заплахи, включително рансъмуер Qilin и Settra, според публикация в X. Хакерите са експлоатирали слабостта, за да стартират неоторизирани VPN сесии и да установят първоначален достъп до вътрешни компютърни мрежи.

„Около пет месеца след разкриването ѝ, уязвимостта се превърна в надежден вход към мрежите за рансъмуер групите и това вероятно ще продължи през следващите три месеца, тъй като все повече групи и брокери на достъп я възприемат“, сподели Брандън Тирадо, вицепрезидент в GreyMatter Operations към ReliaQuest, пред Cybersecurity Dive.

ReliaQuest предупредиха, че тъй като активността по заплахата произхожда от вътрешни VPN мрежи, тя може да изглежда като легитимна сесия за отдалечен достъп и да остане незабелязана. Те предупредиха още, че допълнителни злонамерени действия, включително кражба на идентификационни данни, странично движение (lateral movement), кражба на данни и внедряване на рансъмуер, биха могли да се осъществят преди такова засичане.

Изследователите наблюдават разгръщане на множество инструменти, като Cobalt Strike, BloodHound и SharpHound, при атаките.

Специалисти от Arctic Wolf са разследвали множество атаки през юни, свързани с рансъмуера Qilin, според публикация в блога на фирмата за киберсигурност. Тези атаки варират от бързо криптиране до двойно изнудване, което предполага свързана дейност от партньорски групи на Qilin в рамките на операция по модела „рансъмуер като услуга“ (ransomware-as-a-service).

„Хронологията показва, че достъпът, получен чрез експлоатация, може бързо да се превърне в постоянен отдалечен достъп и преки интерактивни операции, които в крайна сметка позволяват внедряване на рансъмуер“, каза Джъстин Мур, директор по операциите срещу злонамерени субекти в Arctic Wolf.

Изследователите от Unit 42 разследват заплашителната активност от юни. Мишените обхващат различни сектори, включително образование, финансови услуги, здравеопазване, ИТ, производство и държавни институции.

Съществен аспект е, че след успешна експлоатация атакуващите се пренасочват към слоя за виртуализация, според анализаторите от Unit 42. В един от случаите хакерът се е придвижил от компрометирания VPN към модул за управление VMware vCenter. Механизмите за сигурност на хипервайзора ESXi са били деактивирани, а персонализиран инструмент е бил използван за офлайн извличане на идентификационни данни (credential dumping) от виртуален диск на домейн контролер.

Тази конкретна тактика позволява на хакера да заобиколи решенията за откриване и реагиране на крайни точки (EDR), посочват от Unit 42.