ハッカーがPalo Alto PAN-OSの脆弱性を悪用してQilinランサムウェアを展開

ハッカーらは、Palo Alto Networks製PAN-OSの深刻な脆弱性を悪用して企業ネットワークへの初期侵入を果たし、Qilinランサムウェアを展開しています。

ハッカー対策ガイド

2026年6月に調査された複数の侵入事案は、GlobalProtectポータルおよびゲートウェイの展開に影響を与える認証バイパスの脆弱性、CVE-2026-0257の悪用から始まっていました。

攻撃は外部VPNの侵害からドメイン全体の暗号化へと発展し、被害者の中にはデータ窃取と二重恐喝の手口を経験したケースもありました。

Palo Alto PAN-OSの脆弱性を悪用したQilinランサムウェアの展開

CVE-2026-0257はCVSSスコア7.8で、認証オーバーライドクッキーと特定の証明書設定が有効になっている場合に、認証されていない攻撃者がGlobalProtect VPNセッションを確立できてしまうというものです。

Arctic Wolfは、Qilinランサムウェアによる複数のインシデントをこの脆弱性に関連付けており、C:\PerfLogs\ディレクトリでのランサムウェアのステージング、PsExecを用いた水平移動、認証情報の窃取、そして事後のイベントログの徹底的な消去といった、繰り返し見られる行動パターンを指摘しています。

観測された活動から、攻撃者は外部に露出したPAN-OSアプライアンスをWindowsドメインへの侵入口として急速に悪用していることがうかがえます。

攻撃者は脆弱性の悪用に成功した後、GlobalProtect経由で対象ネットワークにアクセスし、LSASS(Local Security Authority Subsystem Service)およびActive Directoryから認証情報を窃取したうえで管理共有を渡り歩き、パスワード保護されたQilinのペイロードを展開しました。

一部の攻撃では迅速な暗号化が優先された一方、偵察活動やリモートアクセスツールの利用、バックアップシステムの標的化、さらにはMEGAクラウドストレージへのデータ窃取を伴う攻撃も見られました。

Qilinは別名Agendaとも呼ばれ、少なくとも2022年から活動しているランサムウェア・アズ・ア・サービス(RaaS)の一種です。そのアフィリエイトは各業界の組織を標的とし、システムを暗号化すると同時に窃取したデータの公開を脅す二重恐喝モデルを採用することもあります。

2026年6月に発生した一連のインシデントで観測された手口の違いは、異なるQilinのアフィリエイトが共通の悪用手法を利用しつつ、侵害後は各々独自の手法を用いていることを反映している可能性があります。

影響を受けるPAN-OSのブランチには、ベンダーが修正版をリリースする前のバージョン12.1、11.2、11.1、10.2が含まれるほか、影響を受けるPrisma Accessのバージョンも該当します。Cloud NGFWおよびPanoramaは影響を受けません。

Arctic Wolfは、多数の外部アドレスからの悪用の試みを確認しており、中にはホスト名「kali」と識別されるデバイスから発信された、VPNセッションの確立に成功した事例もありました。

複数の送信元IPアドレスが、悪用の試みと、それに続くVPN接続の両方で共通して確認されており、攻撃者が共通のインフラやツールキットを共有している可能性が示唆されています。

アクセスを獲得した後、攻撃者は正規表現*[a-z]{6}に一致する名前のレジストリRunキーを介して永続化を確立し、C:\PerfLogs\win.exeからペイロードを実行しました。

また、代替のアクセス経路を維持するため、AnyDesk、Ngrok、LogMeIn、さらに一部の事例ではMeshAgentといったリモートアクセスツールも展開していました。

認証情報の窃取には、comsvcs.dllおよびrundll32.exeを介したLSASSメモリのダンプが利用され、ダンプ出力は拡張子「.odt」を偽装して隠蔽されていました。

攻撃者はまた、Install From Media方式を用いてntdsutil.exeを利用し、Active Directoryのデータを抽出していました。その後、PsExecとWindowsの管理共有(特にC$)を用いて、ツールとランサムウェアを環境全体に配布していました。

コンピュータサイエンス

暗号化に先立ち、攻撃者は一部の事例でMicrosoft Defenderを無効化していました。また、投入されているすべてのログチャネルを消去するよう設計されたPowerShellのルーチンを用いて、Windowsのイベントログを消去していました。二重恐喝を伴うインシデントでは、Rclone、ProtonDrive、FileZilla、MEGAといったツールを利用して、窃取したデータを外部へ転送していました。

各組織は、CVE-2026-0257に対するPalo Alto Networksの修正プログラムを直ちに適用し、パッチ適用後は稼働中のGlobalProtectセッションを終了させたうえで、特にホスティングプロバイダーや自らを「kali」と識別するシステムからの不審な接続がないか、VPNログを確認する必要があります。

防御担当者はさらに、C:\PerfLogs\内での実行ファイルの作成・実行を監視・制限するとともに、PSEXESVC.exe、異常なログオンタイプ333の活動、LSASSダンプ、ntdsutilのIFM利用、C:\Windows\TempやC:\PerfLogsへのリモート書き込みについて警告を発する体制を整えるべきです。ランサムウェアの展開前にローカルログが消去される可能性があるため、イベントログの一元転送は不可欠です。

 脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNをSOCに統合する こちらから。