Qilin 和 INC 勒索软件组织利用 Palo Alto Networks 漏洞绕过 MFA

Palo Alto Networks 披露，其仍在观察到勒索软件行为者利用一个已修复的、影响 PAN-OS 和 Prisma Access 的安全漏洞。

该活动涉及 CVE-2026-0257（CVSS 评分：7.8），这是一个身份验证绕过漏洞，可被恶意行为者利用来建立未经授权的 VPN 连接。该漏洞由 Palo Alto Networks 于 2026 年 5 月修复，并于 2026 年 5 月 13 日被美国网络安全和基础设施安全局（CISA）加入其已知被利用漏洞（KEV）目录。

"利用 CVE-2026-0257 的勒索软件运营者包括 Spikey Scorpius（又称 Qilin）和 Tarnished Scorpius（又称 INC），"Unit 42 研究人员在周一分享的更新中表示。就在几天前，ReliaQuest 表示其检测到 Qilin 和 Settra 勒索软件组织在出于经济动机的攻击中积极利用该漏洞。

据 Unit 42 称，威胁行为者正将该漏洞武器化，以获取对企业网络的初始立足点，然后绕过多因素身份验证（MFA）控制建立 VPN 会话。

在建立 VPN 会话后，攻击者被发现从事以下攻陷后活动——

• 使用双用途的远程监控和管理（RMM）工具进行内部网络侦察。
• 通过 RDP 和 SMB 在网络中横向移动。
• 部署用于凭证窃取、数据外泄和勒索软件部署的额外工具。

据称，这些组织发动的攻击针对广泛行业，包括教育、金融服务、医疗保健、高科技、酒店、制造、专业和法律服务、政府、运输和物流、公用事业和能源以及零售。

"成功利用 CVE-2026-0257 后，战术、技术和程序（TTP）最重大的演变是直接转向虚拟化层，"Unit 42 表示。

"在一个值得注意的案例中，攻击者从被攻陷的 VPN 网关转移到 vCenter 管理设备。随后，他们禁用了 ESXi 虚拟机管理程序上的安全控制（execInstalledOnly），并使用自定义工具直接针对域控制器的虚拟磁盘（VMDK）执行离线凭证转储。"

这家网络安全厂商补充说，这种方法绕过了客户机内的端点检测与响应（EDR）和安全防护，使威胁行为者能够获取全域凭证。

攻击者还被观察到将初始访问方法与其他漏洞利用工具串联使用，包括试图滥用已知漏洞（CVE-2023-27532）攻击 Veeam 备份基础设施，以造成最大破坏。

值得注意的是，Qilin 对 CVE-2026-0257 的利用此前已由 Arctic Wolf 在 2026 年 7 月标记，攻击形式从快速的纯加密操作到完整的双重勒索不等。

除应用最新修复外，Palo Alto Networks 建议各组织主动排查入侵指标，并在检测到成功的网关连接事件时启动适当的事件响应流程。