前情回顾·安全产品漏洞利用态势

安全内参10月21日消息，网安巨头派拓网络（Palo Alto Networks）的研究人员警告，旗下GlobalProtect产品的漏洞披露数月后，勒索软件团伙正在加大利用力度。

该漏洞编号为CVE-2026-0257，属于身份验证绕过漏洞。攻击者利用这一漏洞，就能在未经授权的情况下与该远程访问产品建立VPN连接。该漏洞的严重性评分为7.8分（满分10分）。

多个勒索软件团伙持续利用该漏洞，

逐步成为标配手段

10月9日，网络安全公司ReliaQuest的研究人员在X平台发文称，他们发现多个威胁团伙利用该漏洞发动攻击，其中包括Qilin和Settra勒索软件团伙。攻击者借此建立未经授权的VPN会话，进入目标组织的内部网络，获得初始访问权限。

ReliaQuest副总裁Brandon Tirado表示：“漏洞披露约五个月后，它已经成为勒索软件团伙入侵网络的一条可靠路径。未来三个月，这种情况很可能会持续下去，因为会有更多团伙和初始访问权限经纪人开始利用这一漏洞。”

ReliaQuest还警告称，相关攻击来自内部VPN连接，行为可能与合法的远程访问会话难以区分，因此容易逃过检测。在安全团队发现异常之前，攻击者可能已经窃取凭证、横向移动、窃取数据，甚至部署勒索软件。

研究人员还在相关攻击中发现了多种工具，包括Cobalt Strike、BloodHound和SharpHound。

网络安全公司Arctic Wolf在一篇博客文章中披露，其研究人员调查了今年6月发生的多起与Qilin勒索软件有关的攻击。这些攻击方式各不相同，有的快速加密受害者数据，有的采用双重勒索手段。这表明，相关活动可能涉及多个Qilin附属团伙，它们在勒索软件即服务（RaaS）模式下运作。

Arctic Wolf对手行动部门总监Justin Moore表示：“从攻击时间线来看，攻击者利用漏洞获得访问权限后，可以迅速把这种访问转化为持久的远程访问能力，并直接操控受害系统，最终为部署勒索软件创造条件。”

官方公布真实攻击案例，

建议相关组织尽快排查

派拓网络旗下负责威胁情报与事件响应的Unit 42团队发布报告称，研究人员发现，Qilin和INC勒索软件团伙均在利用这一漏洞。

Unit 42的研究人员自今年6月以来一直在调查相关威胁活动。受影响的目标涉及多个行业，包括教育、金融服务、医疗保健、IT、制造业和政府部门。

Unit 42研究人员指出，这些攻击的一个显著特点是，攻击者成功利用漏洞后，会进一步侵入虚拟化基础设施层。在一起案例中，攻击者从已遭入侵的VPN转向VMware vCenter管理设备。

研究人员还发现，攻击者关闭了ESXi虚拟机监控程序上的安全控制措施，并使用定制工具，对域控制器的虚拟磁盘进行离线凭证转储，窃取身份验证信息。

Unit 42表示，这种手法能帮助攻击者绕过端点检测与响应（EDR）机制，让防御方更难发现和阻止攻击。

Unit 42建议，相关组织尽快排查相关资产和攻击指标情报，并处置修复。

参考资料：https://www.cybersecuritydive.com/news/ransomware-targeting-palo-alto-networks-vulnerability/833474/

声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。