Бопсалаушылар Palo Alto VPN-і арқылы желілерді бұзып жатыр

Кемінде екі бопсалаушы топ, Qilin мен Inc, маусымның басынан бері Palo Alto Networks желіаралық экрандарындағы осалдық арқылы корпоративтік желілерге кіріп жүр. Бұл туралы 20 қазанда компанияның қауіптерді талдайтын бөлімшесі Unit 42 хабарлады. CVE-2026-0257 қатесі GlobalProtect VPN-індегі авторизацияны айналып өтуге мүмкіндік береді. Яғни шабуылшы компания желісіне құпиясөзсіз қосыла алады.

Palo Alto Networks түзетулерді 13 мамырда-ақ шығарған. Сол күні АҚШ-тың киберқауіпсіздік агенттігі CISA бұл осалдықты қазірдің өзінде пайдаланылып жатқан қателер каталогына енгізді. Алайда көп компания құрылғыларын әлі жаңартпаған, сондықтан шабуылдар тоқтамай отыр.

Шабуыл қалай жүреді

Осалдық GlobalProtect порталы не шлюзі қосулы тұрған экрандарға қатысты. Тағы бір шарт бар: құпиясөзсіз қайта кіруге арналған cookie файлдары мен сертификаттың белгілі бір баптауы қосулы болуы керек. Қате жүйенің осы cookie-лердің тұтастығын тексермейтінінен туындайды. Panorama мен бұлттағы Cloud NGFW-ге қауіп жоқ.

Әрі қарай шабуыл таныс сценариймен өрбиді. Шабуылшылар VPN арқылы қосылып, екі факторлы қорғаныстан өтеді де, қашықтан басқаруға арналған заңды бағдарламалармен желіні зерттейді. Кейін RDP мен SMB арқылы компьютерден компьютерге өтіп, құпиясөздерді жинайды. Соңында деректерді сыртқа шығарып, шифрлаушы вирусты іске қосады.

Тексерілген оқиғалардың бірінде шабуылшылар шлюзден VMware vCenter басқару серверіне өткен. Олар ESXi гипервизорларындағы қорғаныс баптауын өшіріп, домен контроллерінің виртуал дискісінен тіркелгі деректерін тікелей көшіріп алған. Unit 42 бұл осалдықты Veeam-дағы ескі CVE-2023-27532 қатесімен қатар пайдаланған жағдайларды да көрген.

«Шабуылшылар бұл осалдықты корпоративтік желілерде тұрақтап алу үшін пайдаланып жатыр», — деді Unit 42-нің қауіптерді талдау жөніндегі аға директоры Энди Пьяцца.

Кім зардап шекті

Unit 42 оннан астам саланы атайды: білім беру, қаржы, денсаулық сақтау, өнеркәсіп, мемлекеттік сектор, көлік, энергетика және бөлшек сауда. Қанша ұйым бұзылғанын компания айтпайды. The Register басылымының бұл сұрағына Palo Alto Networks жауап бермеген. Unit 42 мәліметінше, шабуылшылар тексерген құрылғылардың аз ғана бөлігінде VPN сессиясы орнаған.

Rapid7 деректері бойынша, алғашқы сәтті бұзу кемінде 17 мамырда, яғни патч шыққаннан төрт күн кейін болған. ReliaQuest талдаушылары шабуылшылардың арасынан Settra бопсалаушы бағдарламасының операторларын да көріп отыр.

Не істеу керек

Түзетулер PAN-OS-тың қолдаудағы барлық нұсқасына шықты: 10.2, 11.1, 11.2 және 12.1, сондай-ақ Prisma Access-ке. Ескірген нұсқа иелеріне Palo Alto қолдаудағы нұсқаға көшуге кеңес береді. Егер бірден жаңарту мүмкін болмаса, cookie үшін бөлек сертификат қою не қайта кіру функциясын өшіру ұсынылады.

Жаңартудан кейін GlobalProtect пайдаланушылары бір рет қайта авторизациядан өтуі керек. Unit 42 шабуылшылардың IP мекенжайларын жариялап, шлюз журналдарын солармен салыстырып шығуды ұсынады. Мұндай мекенжайдан қосылу болса, желіні бұзылған деп санап, тергеуді бастау қажет.

Дереккөздер: Unit 42 — CVE-2026-0257 арқылы жасалған шабуылдар туралы, Palo Alto Networks — осалдық туралы бюллетень, The Register — бопсалаушылардың шабуылдары туралы