Вымогательские группировки Qilin и INC продолжают использовать уже закрытую уязвимость в продуктах Palo Alto Networks. Речь идёт о сбое в PAN-OS и Prisma Access, который позволял злоумышленникам проникать в корпоративные сети и обходить многофакторную аутентификацию.

Проблема затронула организации, которые не успели вовремя поставить исправления или не заметили признаки компрометации. По данным Palo Alto Networks, атаки продолжаются даже после выпуска патча в мае 2026 года.

Что произошло

Palo Alto Networks сообщила, что наблюдает новые попытки эксплуатации CVE-2026-0257. Уязвимость получила оценку 7,8 балла по шкале CVSS и связана с обходом аутентификации.

Сама ошибка позволяла создавать несанкционированные соединения и использовать их как точку входа в инфраструктуру. Американское агентство CISA внесло её в каталог известных эксплуатируемых уязвимостей 13 мая 2026 года.

Исследователи Unit 42 назвали среди активных участников атак Spikey Scorpius, более известную как Qilin, и Tarnished Scorpius, то есть INC. Ранее о похожей активности сообщала и ReliaQuest.

Как проходит атака

Сценарий выглядит типично для вымогателей, но с важной оговоркой: они бьют не только по пользовательским машинам, а заходят глубже, в сетевую и виртуализационную инфраструктуру. Сначала злоумышленники закрепляются в периметре, затем добиваются доступа к внутренним ресурсам и нередко пытаются обойти 2FA.

Дальше они проводят разведку внутри сети с помощью инструментов удалённого мониторинга и управления, перемещаются по инфраструктуре через RDP и SMB, а затем готовят кражу учётных данных, вынос данных и запуск шифровальщика. В некоторых случаях атака доходит до уровня виртуализации: злоумышленники переходят от скомпрометированного шлюза к vCenter, отключают защитные настройки на ESXi и извлекают учётные данные из виртуального диска контроллера домена.

Такой подход особенно опасен: он помогает обойти защиту, которая установлена внутри отдельных машин. Иначе говоря, антивирус и EDR на хосте могут не увидеть часть действий, если злоумышленник работает через виртуальный слой.

Подобные цепочки атак уже разбирали и в других материалах SAFENET21 — например, в разборе критической уязвимости FortiSIEM и в статье про цепочку старых багов в OpenBSD.

Кого затронуло и чем это грозит

Под ударом оказались организации из самых разных отраслей: образование, финансы, медицина, производство, транспорт, госструктуры, розница, энергетика и профессиональные услуги. Для таких компаний последствия обычно одни и те же: простой сервисов, утечка данных, шифрование файлов и рост расходов на восстановление.

Unit 42 отдельно отмечает, что атакующие стараются добрать максимум ущерба. В ряде случаев они также пытались пробить инфраструктуру резервного копирования Veeam, чтобы лишить жертву быстрого пути к восстановлению.

Это уже не история про единичный инцидент. Группировки используют патчеванную уязвимость как входную дверь, а потом добираются до домена, резервных копий и виртуальной среды.

Что делать сейчас

Если у вас в сети есть продукты Palo Alto Networks, первым делом проверьте, установлены ли свежие исправления. Одного патча мало: после подобных атак стоит отдельно поискать признаки компрометации и проверить журналы шлюзов, серверов виртуализации и систем удалённого доступа.

Особое внимание — любым нестандартным сессиям, новым учётным записям, неожиданным RDP- или SMB-подключениям, а также действиям, связанным с отключением защитных механизмов на виртуальных хостах. Если что-то выглядит подозрительно, запускайте процедуру реагирования без промедления.

Для удалённых сотрудников и подрядчиков полезно держать под рукой [инструмент защищённой работы с трафиком]https://freedome.space) только как часть общего набора мер: он не заменяет обновления, контроль доступа и журналирование, но помогает снизить утечки данных при работе вне офиса.

Практический чек-лист

  • Проверьте, закрыта ли CVE-2026-0257 на всех шлюзах и в смежных системах.
  • Просмотрите логи на предмет необычных входов, новых сессий и признаков закрепления.
  • Проверьте события на vCenter, ESXi и доменных контроллерах.
  • Убедитесь, что 2FA включена не только на входе, но и там, где это критично для администрирования.
  • Отдельно проверьте резервное копирование и права доступа к копиям.
  • Смените учётные данные, если есть подозрение на компрометацию.
  • Подготовьте план реагирования на случай шифрования данных и отключения сервисов.
Поделиться: