Qilin与Inc勒索软件串联PAN-OS认证绕过攻击数月

<p>如今，边界设备就是攻击载荷。Unit 42周一确认，勒索软件运营者Spikey Scorpius（Qilin）和Tarnished Scorpius（Inc）仍在积极利用CVE-2026-0257。这是PAN-OS GlobalProtect门户和网关中的一个认证绕过漏洞，攻击者借此绕过MFA，直接在企业网络内建立VPN会话。公开报告还将该漏洞与部署Settra勒索软件的团伙联系在一起。受害者遍及教育、金融、医疗、政府、公用事业、制造业等行业，而入侵后的攻击手法最终指向你的虚拟化宿主机。</p>

<p>这件事令人痛心之处在于时间线。该漏洞于5月修补并被列入KEV，利用在数天内就开始了。五个月后，多个勒索团伙仍在大量利用未打补丁的网关。如果你的PAN-OS或Prisma Access环境尚未更新，那就不是理论风险，而是一场你可能已经输掉的竞赛。</p>

时间线：5月修补，5月中旬即被攻破

<p>让我们按顺序梳理这件事，因为时间顺序本身就是关键。</p>

<p>5月13日。Palo Alto Networks披露并修补了CVE-2026-0257（CVSS 7.8）。据The Register报道，该公司最初将其定为中危，并表示虽然知悉利用尝试，但未观察到恶意利用。同日，CISA将其加入已知被利用漏洞目录（KEV）。该漏洞本身是GlobalProtect门户和网关组件中的认证绕过，未经认证的攻击者可借此规避安全控制并发起VPN连接。</p>

<p>5月17日起。最初的评估很快就过时了。到5月底，Rapid7研究人员报告称，多个客户环境中已出现成功利用，最早可追溯至5月17日，即补丁发布四天后。5月29日是Unit 42划定的分界线，区分了PoC公开之前和之后的活动，这对你的排查方式很关键（详见下文）。</p>

<p>6月初。Unit 42的威胁简报称，其针对滥用该漏洞入侵事件的调查自6月初开始，涉及十一个具名行业。7月，Arctic Wolf发现Qilin利用同一CVE开展行动，从快速加密勒索到完整的双重勒索都有，相关报道见The Hacker News。随后，ReliaQuest检测到Qilin和Settra的运营者都在使用该漏洞。10月19日，Unit 42更新简报，确认Qilin和Inc仍在持续利用。这意味着近五个月来，勒索团伙一直围绕同一个边界CVE进行持续串联攻击。</p>

<p>这正是典型的KEV失败模式：修复方案已经存在，公告也已发布，但大量互联网资产就是从未打补丁。当一个158天前的CVE依然好用时，攻击者根本不需要零日漏洞。</p>

核心手法：绕过门户，继承信任

<p>以下是报道所支持的细节层面的攻击机制。GlobalProtect门户负责认证和下发配置，网关负责终结VPN会话。CVE-2026-0257允许攻击者绕过门户的认证控制并发起VPN连接，而这同样能绕过MFA，因为该会话从一开始就没有经过正确认证。你无法用MFA挡住一个直接跳过认证步骤的漏洞。这更像是撬锁而非暴力破解：没有可限速的对象，也没有可告警的登录失败，因为根本不存在登录失败。</p>

<p>Unit 42对已确认与推测的内容十分谨慎：只有一小部分被探测的设备真正建立了VPN会话，并产生了网关连接事件。在最早的观察中，未发现任何入侵后行为或横向移动。自6月以来记录的勒索案例则属于另一个较晚的阶段，那时攻击手法才变得张扬。因此，符合这些指标的网关连接事件并不等于勒索软件感染，但Unit 42的建议很明确：应将其视为事件处理，而非一个有趣的小现象。</p>

<p>Unit 42描述的入侵后攻击链，是勒索软件的常规手法，但有一个棘手的变化：</p>

1. 借助CVE-2026-0257获取立足点，建立VPN会话并绕过MFA。
2. 利用双用途的RMM工具进行内网侦察。这类合法软件被用于非法用途，因此很难被察觉。
3. 通过RDP和SMB进行横向移动。
4. 部署凭证窃取与数据外传工具，随后投放勒索软件。

压轴战：从VMDK离线窃取凭证

<p>现在说到关键转折。无论我们多么厌恶这些攻击者，都必须承认，这是一次真正高明的攻击。Unit 42的Andy Piazza描述了一个案例：攻击者从被攻陷的VPN网关横向跳转到vCenter管理设备。随后，他们在ESXi宿主机上禁用了execInstalledOnly安全控制，并运行一个自定义工具，直接从域控制器的虚拟磁盘（VMDK）离线转储凭证。</p>

<p>想想这有多狠。你的EDR运行在客户机操作系统内部。如果攻击者在虚拟化层面操作，读取域控制器的磁盘，而从未在客户机内执行任何程序，那么你花钱购买的客户机内遥测就什么也看不到。这就像不在游戏里打boss，而是直接从存档文件中把数据读出来。Unit 42称这是获取域范围凭证的一种高度复杂的方法，而这一次，这个形容词确实名副其实，相关证据也说明了原因。</p>

<p>而且，单靠一个立足点还远远不够。Unit 42观察到，攻击者将PAN-OS的访问权限与针对Veeam备份基础设施的CVE-2023-27532利用相结合。换言之，他们在攻击生产环境之前先攻击备份，使受害者无干净的数据可供恢复。如果你的勒索应急预案假设备份能够幸存，这一组合应该会让你彻夜难眠。我们此前在报道一个由37年前漏洞构造的root提权利用时也谈到过类似的细致攻击链：耐心的攻击者从防御方早已遗忘的零件中，组装出可靠的攻击链。</p>

管理接口配置错误的放大效应

<p>10月20日的更新中有一项发现，值得单独建一个工单队列。在与Lunar Peak行动相关的应急响应中，Unit 42反复发现同一个错误：多个机构将GlobalProtect配置文件映射到了管理接口上的HTTP/HTTPS服务，无意中使管理平面在4443和3879端口上暴露于互联网，而且很多时候无人知晓。GlobalProtect中的CVE加上面向互联网的管理接口，是一种叠加的失误，而攻击者只需要你犯这一次错误。</p>

<p>验证步骤出奇地简单，你甚至可以在咖啡馆里完成：从外部网络，尝试通过带外HTTPS连接访问你的管理IP的4443和3879端口。如果有响应，说明你存在问题。修复方法是按照Palo Alto Networks的文档正确配置Interface Management配置文件：限制管理访问，遵循最小权限原则，并且不要让GP配置文件触及管理平面。</p>

今天如何排查

<p>Unit 42按阶段划分了指标，这种划分在实际操作中很有用。对于PoC公开之前的活动（5月29日之前），请在GlobalProtect日志中搜索来自以下九个IP的成功登录连接，包括23.128.228[.]6、104.207.144[.]154、146.19.216[.]119、146.19.216[.]120、146.19.216[.]125、179.43.172[.]213、185.195.232[.]139、198.12.106[.]60和202.144.192[.]47。接着，查找使用明显伪造主机标识符的网关连接事件。PoC和相关工具会留下类似aa:bb:cc:dd:ee:ff、00:11:22:33:44:55的特征，以及WINDOWS-LAPTOP-001、DESKTOP-GP01和GP-CLIENT等设备名。真实的设备群主机名杂乱多样，而统一的占位值才是破绽所在。</p>

<p>对于PoC公开之后的活动，公开利用代码硬编码了其客户端配置，因此请搜索符合以下条件的成功网关连接事件：</p>

endpoint_os_version : "Microsoft Windows 10 Pro 64-bit"
source_user_info.domain : (empty)

<p>检测逻辑很简单，可以写成一条查询语句：任何网关连接事件中，如果终端操作系统字符串与PoC的硬编码值完全一致，且域字段为空，就值得分析人员关注。对于大多数环境而言，成功连接中域字段为空本身就是值得告警的异常。</p>

<p>如果发现命中，响应顺序很重要。应假设VPN会话只是立足点，而非完整攻击。检查是否存在你未部署的RMM工具，是否有来自网关网段的RDP/SMB横向移动。鉴于存在vCenter跳转，还应审计虚拟化层：谁修改过execInstalledOnly，是否有VMDK被挂载或复制，以及Veeam基础设施是否被探测过CVE-2023-27532。然后，假定域凭证已被离线转储，并予以轮换，因为客户机内EDR不会发现这类行为。如果你拥有Palo Alto的Cortex Xpanse，它可以枚举暴露的PAN-OS网关和门户；如果没有，对自有地址段进行外部扫描也能得到大部分相同的答案。</p>

没人愿意算的成本账

<p>编辑提出的问题是：边界设备是否是你面临的最高风险勒索软件入口？这组数据已经给出了答案。一个最初定为中危的CVE，于5月修补，却在五个月里为至少三个勒索团伙提供了入口，原因在于打补丁需要维护窗口，而利用只需要一个GET请求。遏制与修补的成本，不过是一次计划内停机、一次配置审计、一轮日志排查，或许还要加一次凭证轮换。而暴露的代价，正如Unit 42所记录的：域范围的凭证被盗、虚拟化层面被攻陷、备份被摧毁，以及整个环境遭到加密。The Register和Unit 42都没有给出事件的金额数字，Palo Alto Networks也没有回应The Register关于受影响机构数量的提问，因此真实数字不得而知。但这种不对称是确定无疑的。</p>

<p>升级到已修复的PAN-OS版本，或应用厂商记录在案的临时缓解措施，执行上述排查，从外部测试你的管理接口，并在此过程中检查ESXi和Veeam的安全状况。完整的指标集和公告链接见Unit 42的威胁简报，其中还引用了Rapid7和Arctic Wolf的相关技术分析。吊桥已经放下五个月了，现在就去把它升起来。</p>