Qilin und INC nutzen Palo-Alto-Lücke für VPN-Zugriff

Ransomware-Gruppen nutzen weiterhin eine bereits geschlossene Schwachstelle in PAN-OS und Prisma Access von Palo Alto Networks aus. Das hat die Forschungsabteilung Unit 42 des Herstellers mitgeteilt. Zu den Angreifern gehören demnach die Gruppen Qilin, bei Unit 42 als Spikey Scorpius geführt, und INC, intern Tarnished Scorpius. Das Sicherheitsunternehmen ReliaQuest hatte wenige Tage zuvor bereits Angriffe von Qilin und der Ransomware-Gruppe Settra über dieselbe Lücke gemeldet.

Die Schwachstelle CVE-2026-0257 mit einem CVSS-Wert von 7,8 ermöglicht es, die Authentifizierung zu umgehen und unberechtigte VPN-Verbindungen aufzubauen. Palo Alto Networks hatte sie im Mai 2026 geschlossen. Die US-Cybersicherheitsbehörde CISA nahm sie am 13. Mai in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Angriffe von Qilin über die Lücke hatte das Sicherheitsunternehmen Arctic Wolf bereits im Juli gemeldet.

Vom VPN zur Virtualisierung

Laut Unit 42 verschaffen sich die Angreifer über die Lücke einen ersten Zugang zu Unternehmensnetzen und umgehen dann die Multi-Faktor-Authentifizierung, um eine VPN-Sitzung aufzubauen. Anschließend erkunden sie das Netz mit legitimen Werkzeugen zur Fernwartung (RMM), bewegen sich per RDP und SMB weiter und bringen Werkzeuge zum Abgreifen von Zugangsdaten, zum Datendiebstahl und zur Verschlüsselung in Stellung.

„Die bedeutendste Weiterentwicklung der Taktiken, Techniken und Verfahren nach der erfolgreichen Ausnutzung von CVE-2026-0257 ist der direkte Schritt auf die Virtualisierungsebene.”
Unit 42

In einem Fall gelangten die Angreifer vom kompromittierten VPN-Gateway auf die vCenter-Verwaltung. Dort schalteten sie die Sicherheitsfunktion execInstalledOnly auf ESXi-Hypervisoren ab und lasen mit einem eigenen Werkzeug Zugangsdaten direkt aus der virtuellen Festplatte (VMDK) eines Domänencontrollers aus. Damit umgingen sie EDR-Lösungen innerhalb der virtuellen Maschinen und erhielten Zugangsdaten für die gesamte Domäne.

Palo Alto: Angriffe auf Backups

Die Angreifer kombinierten den Zugang zudem mit weiteren Exploits, etwa für die bekannte Lücke CVE-2023-27532 in der Backup-Software von Veeam. Betroffen sind laut Unit 42 zahlreiche Branchen, darunter Bildung, Finanzdienstleistungen, Gesundheitswesen, Industrie, Behörden, Logistik, Energieversorgung und Handel.

Palo Alto Networks empfiehlt, die verfügbaren Updates einzuspielen, gezielt nach Indikatoren einer Kompromittierung zu suchen und bei auffälligen erfolgreichen Verbindungen mit dem Gateway Maßnahmen zur Reaktion auf Vorfälle einzuleiten.

(red)