Вымогатели с июня взламывают сети через VPN Palo Alto

Как минимум две группировки вымогателей, Qilin и Inc, с начала июня проникают в корпоративные сети через уязвимость в межсетевых экранах Palo Alto Networks. Об этом 20 октября сообщило подразделение компании по анализу угроз Unit 42. Ошибка CVE-2026-0257 позволяет обойти авторизацию в VPN GlobalProtect и подключиться к сети компании без пароля.

Palo Alto Networks выпустила исправления ещё 13 мая. Тогда же агентство кибербезопасности США CISA внесло уязвимость в каталог уже эксплуатируемых. Но многие компании так и не обновили устройства, и атаки продолжаются.

Как устроена атака

Уязвимость затрагивает межсетевые экраны с включённым порталом или шлюзом GlobalProtect. Нужна ещё одна настройка: cookie-файлы для повторного входа без пароля и определённая конфигурация сертификата. Ошибка связана с тем, что система не проверяет целостность этих cookie. Panorama и облачный Cloud NGFW под угрозой не находятся.

Дальше атака развивается по знакомой схеме. Злоумышленники подключаются по VPN, обходят двухфакторную защиту и изучают сеть с помощью легальных программ удалённого администрирования. Затем они перемещаются между компьютерами по RDP и SMB, собирают пароли, выкачивают данные и запускают шифровальщик.

В одном из расследованных случаев атакующие перешли со шлюза на сервер управления VMware vCenter. Они отключили защитную настройку на гипервизорах ESXi и выгрузили учётные данные прямо с виртуального диска контроллера домена. Unit 42 также видела, как эту уязвимость комбинируют со старой дырой в Veeam CVE-2023-27532.

«Злоумышленники используют эту уязвимость, чтобы закрепиться в корпоративных сетях», — сказал старший директор по анализу угроз Unit 42 Энди Пьяцца.

Кто пострадал

Unit 42 перечисляет больше десяти отраслей: образование, финансы, здравоохранение, промышленность, госсектор, транспорт, энергетика и розничная торговля. Число взломанных организаций компания не раскрывает. На вопрос The Register об этом Palo Alto Networks не ответила. В Unit 42 уточнили, что VPN-сессию удалось установить лишь на небольшой части устройств, которые проверяли атакующие.

По данным Rapid7, первые успешные взломы относятся как минимум к 17 мая, то есть через четыре дня после выхода патча. Аналитики ReliaQuest видят среди атакующих и операторов вымогателя Settra.

Что делать

Исправления вышли для всех поддерживаемых веток PAN-OS: 10.2, 11.1, 11.2 и 12.1, а также для Prisma Access. Владельцам устаревших версий Palo Alto советует перейти на поддерживаемую. Если обновиться сразу нельзя, компания рекомендует выделить для cookie отдельный сертификат или отключить функцию повторного входа.

После обновления пользователям GlobalProtect придётся один раз заново пройти авторизацию. Unit 42 опубликовала IP-адреса атакующих и советует проверить по ним журналы шлюзов. Если подключение с таких адресов было, сеть нужно считать скомпрометированной и начинать расследование.

Источники: Unit 42 — об атаках через CVE-2026-0257, Palo Alto Networks — бюллетень об уязвимости, The Register — об атаках вымогателей