Qilin ve INC fidye yazılımı grupları, Palo Alto GlobalProtect açığıyla kurum ağlarına girip vCenter'a kadar ilerliyor

Palo Alto Networks’ün güvenlik duvarlarında kullanılan PAN-OS işletim sistemindeki CVE-2026-0257, GlobalProtect VPN bileşenlerinde bir authentication bypass açığı. CVSS puanı 7.8. Palo Alto açığı mayısta kapattı, CISA da 13 Mayıs’ta açığı saldırılarda kullanılan açıklar listesi KEV’e ekledi. Açık için 29 Mayıs’ta bir PoC (kavram kanıtı kodu) yayımlandı.

Unit 42, haziranın başından beri bu açıkla ilgili olayları incelediğini söylüyor. İlk raporunda, açığı deneyen cihazların yalnızca küçük bir kısmının VPN oturumu açabildiğini ve sonrasında bir hareket görülmediğini yazmıştı. 19 Ekim’de yayımladığı güncelleme ise tabloyu değiştiriyor: açık artık fidye yazılımı saldırılarının giriş kapısı.

Saldırganların yöntemi

Unit 42’nin adını verdiği gruplar Spikey Scorpius, yani Qilin, ve Tarnished Scorpius, yani INC. Güvenlik şirketi ReliaQuest de bazı saldırıları Settra fidye yazılımı kullanan aktörlere bağlıyor. Arctic Wolf ise Qilin’in bu açığı kullandığını temmuzda bildirmişti.

Unit 42’nin anlattığı saldırı zinciri şöyle:

1. GlobalProtect portalı ve geçidindeki authentication bypass ile ilk erişim sağlanıyor.
2. MFA aşılıp VPN oturumu açılıyor. Unit 42 bunun nasıl yapıldığını açıklamıyor.
3. Hem meşru hem saldırı amaçlı kullanılabilen RMM (uzaktan yönetim) araçlarıyla ağ içinde keşif yapılıyor.
4. RDP ve SMB üzerinden başka sistemlere geçiliyor.
5. Parola toplama, veri sızdırma ve fidye yazılımı için araçlar hazırlanıyor.

Bir vakada saldırganlar VPN geçidinden şirketin vCenter sunucusuna geçti. ESXi sunucularında yalnızca onaylı programların çalışmasını sağlayan execInstalledOnly ayarını kapattı. Ardından bir etki alanı denetleyicisinin sanal diskini (VMDK) özel bir araçla açıp parola bilgilerini çevrim dışı çıkardı. Bu yöntem, sanal makinenin içinde çalışan EDR yazılımına hiç görünmüyor. Saldırganlar erişimi Veeam yedekleme yazılımındaki eski CVE-2023-27532 açığıyla da birleştirdi.

The Hacker News’e göre Qilin’in saldırıları yalnızca şifreleme yapan operasyonlardan, verinin hem şifrelenip hem çalındığı çift taraflı şantaja kadar uzanıyor. Hedef alınan sektörler arasında eğitim, finans, sağlık, üretim, kamu, ulaşım, enerji ve perakende var.

Göstergeler

Unit 42, PoC yayımlanmadan önceki dönemde görülen şu IP adreslerinden GlobalProtect’e yapılan başarılı girişlerin aranmasını öneriyor:

• 23.128.228[.]6
• 104.207.144[.]154
• 146.19.216[.]119, 146.19.216[.]120, 146.19.216[.]125
• 179.43.172[.]213
• 185.195.232[.]139
• 198.12.106[.]60
• 202.144.192[.]47

Herhangi bir IP’den gelen ve şu cihaz bilgilerini taşıyan başarılı bağlantılar da şüpheli kabul ediliyor:

• Host ID: aa:bb:cc:dd:ee:ff, 00:11:22:33:44:55
• Cihaz adı: WINDOWS-LAPTOP-001, DESKTOP-GP01, GP-CLIENT

Yayımlanan PoC’nin sabit değerleri de iz bırakıyor: endpoint_os_version alanında Microsoft Windows 10 Pro 64-bit yazan ve source_user_info.domain alanı boş olan bağlantılar.

Önerilen önlemler

• PAN-OS’i Palo Alto’nun güvenlik bildirimindeki düzeltilmiş sürümlere yükseltin ya da bildirimdeki geçici önlemleri uygulayın.
• GlobalProtect kayıtlarını yukarıdaki göstergelerle haziran başından itibaren tarayın. Unit 42, eşleşen başarılı bir bağlantı görülürse doğrudan olay müdahalesi başlatılmasını öneriyor.
• Yama yapılmış olsa bile, yamadan önceki dönemde VPN üzerinden içeri girilmiş olabileceğini göz önünde bulundurun. Unit 42 ve The Hacker News, güncellemeyle birlikte göstergelerin proaktif olarak aranmasını öneriyor.