Zsarolóvírus-csoportok használják behatolásra a GlobalProtect VPN-hibáját

A ReliaQuest az érintett telepítések azonnali frissítését javasolja. Emellett azt kéri, hogy ahol nincs rájuk szükség, kapcsolják ki a hitelesítés felülbírálását lehetővé tevő sütiket. A javítás után minden aktív GlobalProtect-munkamenetet zárjanak le, és vizsgálják meg a váratlan kapcsolatokat is. Utóbbiaknál példaként a „kali” gépnévvel jelentkező munkameneteket említi.

A cég a Qilin mellett a Settra zsarolóvírus-műveleteihez kötődő kihasználást is követett. Figyelmeztetése szerint a behatolók a szervezet saját VPN-kapcsolatán keresztül érkeznek, ezért tevékenységük szabályos távmunkának tűnhet. Így akár a jelszólopás, a további gépekre terjedés, az adatlopás vagy a zsarolóvírus telepítése közben is észrevétlenek maradhatnak.

A CVE-2026-0257 a PAN-OS szoftvert futtató fizikai és virtuális tűzfalak GlobalProtect-portálját és -átjáróját, valamint a Prisma Access szolgáltatást érinti. A leírás szerint a Panorama és a Cloud NGFW nem érintett.

A hiba abból ered, hogy az eszközök a sütikre támaszkodnak, de nem ellenőrzik kellő részletességgel azok érvényességét és sértetlenségét. Egy távoli, még nem hitelesített támadó így megkerülheti a biztonsági korlátozásokat, és jogosulatlan VPN-kapcsolatot létesíthet.

A Unit 42 szerint a behatolók ezzel a többtényezős hitelesítést is megkerülik a munkamenet létrehozásakor. Ez az a belépési védelem, amely egynél több, különböző típusú tényezőt kér a sikeres azonosításhoz.

A Palo Alto Networks május 13-án hozta nyilvánosságra a sebezhetőséget, és kezdetben közepes súlyosságúnak minősítette. Május 29-én már korlátozott számú kihasználási kísérletről számolt be olyan javítatlan PAN-OS eszközök ellen, amelyeken védelmi intézkedéseket sem alkalmaztak.

A Rapid7 ügyfeleinél már május 17-től a helyi rendszergazdai fiókot célozták a támadók. Egy május 21-i második hullámban néhányan a belső hálózatokba is bejutottak. A Unit 42 október 19-én frissített tájékoztatója már a Qilin és az Inc nevét is megjelölte.

A CISA május 29-én vette fel a hibát a bizonyítottan kihasznált sebezhetőségeket gyűjtő KEV-listájára. A bejegyzés ismert zsarolóvírusos felhasználást is jelez.

A zsarolóvírus-csoportok az egészségügytől és az oktatástól a kormányzati és energetikai szektorig sokféle szervezetbe törtek be a hibán át. A támadók szabályos informatikai felügyeleti eszközökkel térképezték fel a hálózatot, jutottak tovább más gépekre, majd jelszó- és adatlopó programokat hoztak be.

Egy konkrét esetben a kompromittált VPN-átjáróról a vCenter felügyeleti rendszeréhez fértek hozzá. Kikapcsoltak biztonsági védelmeket az ESXi virtualizációs környezetben, majd egy tartományvezérlő virtuális lemezéből nyertek ki hitelesítő adatokat. Ehhez egyedi eszközt használtak, a virtuális gépen belüli védelmeket megkerülve.

A kutatók olyan esetet is láttak, amelyben a kezdeti hozzáférést a Veeam biztonsági mentési infrastruktúráját célzó eszközökkel kapcsolták össze. Ezek között a CVE-2023-27532 kihasználása is szerepelt.

A Group-IB és a NyxLab egy másik vizsgálata a k0t néven követett szereplő kampányát tárta fel. Ebben internet felől elérhető Fortinet FortiGate és Palo Alto Networks GlobalProtect eszközöket céloztak. A használt módszerek között a CVE-2026-0257, valamint a FortiWeb terméket érintő CVE-2025-64446 kihasználása is megjelent.

A kutatók szerint a célpontokat tömeges eszközfelderítéssel választották ki, nem egyes szervezetek előzetes tanulmányozásával. Tartós távoli hozzáférést és adatlopást is azonosítottak.

A Qilin és a The Gentlemen csoporttal feltételezett kapcsolat pontos jellege nem tisztázott. A kampányhoz hálózati eszközökhöz és LDAP-adatmentésekhez kapcsolódó, több mint 70 000 kiszivárgott hitelesítő adatot kötöttek.