Qilin 勒索软件攻击者利用 PAN-OS 身份验证绕过漏洞获取初始访问权限

据观察，威胁行为者正在利用一个现已修补的高严重性 Palo Alto Networks PAN-OS 漏洞作为入口点，在受害者环境中部署 Qilin（又名 Agenda）勒索软件。
Arctic Wolf Labs 表示，它调查了 2026 年 6 月发生的多起入侵事件，这些事件均始于利用 CVE-2026-0257（CVSS 评分：7.8），这是一个影响 PAN-OS 软件门户和网关组件的身份验证绕过漏洞。
成功利用该漏洞，当在特定证书配置下启用身份验证覆盖 cookie 时，未经认证的远程攻击者可以绕过身份验证，并在没有有效凭据的情况下建立 VPN 会话。
"入侵后的技术手法在各起入侵中各不相同，从仅加密的快速操作到完整的双重勒索，可能表明多个关联团伙在 Qilin 勒索软件即服务（RaaS）框架下运作，"该网络安全公司表示。
"尽管技术手法存在差异，但攻击者表现出一致的操作模式：在 C:\PerfLogs\ 暂存勒索软件、使用 PsExec 通过管理共享进行横向执行、部署受密码保护的勒索软件 payload，以及实施全面的日志清除程序。"
已发现威胁行为者利用该漏洞，通过建立 SSL VPN 会话获取对受害者网络的认证访问权限，随后升级攻击，通过受入侵的管理账户利用 Windows 管理共享进行凭据收集和横向移动。
该活动的另一个特点是，攻击者在运行勒索软件 payload 之前，会采取精心策划的步骤清除事件日志并禁用 Microsoft Defender 实时保护，以最大限度地降低被检测到的可能性并避免留下取证证据。
尽管勒索软件暂存路径、基于 PsExec 的执行方式以及一种不寻常的 Windows 注册表持久化模式（即一个星号后跟六个随机小写字母字符）存在相似性，但后续攻击在各受害者之间有所不同。
这包括从全企业范围的加密（无数据外泄）以及通过 AnyDesk、Ngrok 或 LogMeIn 等远程访问工具进行广泛侦察，到大规模凭据窃取以及在使用 Rclone、Proton Drive 和 FileZilla 部署勒索软件之前将数据外泄到 MEGA 云服务等。
"这种可变性与 RaaS 模式一致，在该模式下，多个关联团伙可能共享初始访问基础设施和勒索软件工具，同时应用各自偏好的入侵后方法，"Arctic Wolf 表示。