Operadores de ransomware estão explorando uma vulnerabilidade no PAN-OS, sistema operacional da Palo Alto Networks, que permite contornar a autenticação. A falha possibilita sessões não autorizadas de rede privada virtual (VPN), burla a autenticação multifator (MFA) e permite o acesso a redes corporativas.
De acordo com a atualização de 19 de outubro da Unit 42, dois grupos, Spikey Scorpius (também conhecido como Qilin) e Tarnished Scorpius, estão utilizando a falha CVE-2026-0257 (identificador padronizado de vulnerabilidade). Relatos públicos também associam esses ataques a agentes que utilizam o ransomware Settra.
Investigações iniciadas no começo de junho de 2026 atingiram setores como saúde, educação, serviços financeiros, governo, manufatura e energia. As descobertas documentam uma série de atividades de ransomware que vão além das conexões VPN bem-sucedidas relatadas inicialmente.
Falha no PAN-OS da Palo Alto Networks
A vulnerabilidade afeta o portal e o gateway do GlobalProtect em instalações vulneráveis do PAN-OS. Para que a exposição ocorra, os cookies de substituição de autenticação precisam estar habilitados, junto com uma configuração específica de certificado.
A Palo Alto Networks classifica essa fraqueza como validação e verificação de integridade inadequadas dos cookies, atribuindo a ela uma pontuação CVSS (Sistema Comum de Pontuação de Vulnerabilidades) de 7,8. Vale destacar que o Panorama e o Cloud NGFW (firewall de nova geração em nuvem) não são afetados.
A exploração bem-sucedida permite que atacantes contornem restrições de segurança e estabeleçam conectividade VPN sem utilizar protocolos de autenticação padrão.
Após obter acesso, os operadores realizam reconhecimento interno com ferramentas de monitoramento e gerenciamento remoto de uso duplo, se movimentam lateralmente por meio de RDP (Protocolo de Área de Trabalho Remota) e SMB (Bloco de Mensagens do Servidor) e implantam utilitários para coleta de credenciais, exfiltração de dados e instalação de ransomware.
Um desenvolvimento significativo é que os atacantes agora acessam diretamente a infraestrutura de gerenciamento de virtualização após obter acesso VPN. Em uma investigação, invasores acessaram um appliance de gerenciamento vCenter, desativaram o controle de segurança execInstalledOnly nos hipervisores ESXi e usaram ferramentas personalizadas para extrair credenciais offline de um disco virtual (VMDK) de um controlador de domínio.
Como essa coleta de credenciais tem como alvo o armazenamento virtual, e não os processos executados dentro do sistema operacional convidado, ela contorna efetivamente os controles de detecção e resposta de endpoint (EDR) existentes dentro do convidado.
A Unit 42 também observou que os atacantes estão combinando o comprometimento inicial com ferramentas que visam a infraestrutura de backup Veeam, por meio da falha CVE-2023-27532.
Defensores devem revisar os logs do GlobalProtect em busca de eventos de conexão bem-sucedidos com gateway vinculados a identificadores de dispositivos suspeitos, como aa:bb:cc:dd:ee:ff, 00:11:22:33:44:55, WINDOWS-LAPTOP-001, DESKTOP-GP01 e GP-CLIENT.
Sinais de atividade pós-prova de conceito podem incluir a versão do sistema operacional do endpoint listada como “Microsoft Windows 10 Pro 64-bit” e um campo source_user_info.domain vazio.
Endereços de origem históricos a investigar incluem 23.128.228[.]6, 104.207.144[.]154 e 179.43.172[.]213. No entanto, a Unit 42 recomenda buscar identificadores de cliente suspeitos em conexões de qualquer endereço, e não apenas concentrar a análise na infraestrutura já conhecida. Conexões bem-sucedidas que correspondam a esses indicadores devem acionar uma resposta a incidentes.
Os administradores são orientados a atualizar todos os portais e gateways afetados para as versões corrigidas mais recentes. Alternativamente, podem desativar a substituição de autenticação ou gerar um novo certificado específico para os cookies de substituição de autenticação.
As versões corrigidas regenerarão os cookies com segurança, por isso os usuários precisarão se autenticar novamente após a atualização. Organizações que utilizam implantações híbridas do Prisma Access também devem atualizar seus firewalls locais afetados para garantir a compatibilidade dos cookies em todos os ambientes.
