Qilinランサムウェアを展開する脅威アクターが、Palo Alto NetworksのGlobalProtect認証バイパスの脆弱性CVE-2026-0257を悪用していたことが判明しました。Arctic Wolf Labsが2026年6月中に調査した複数の侵入事案において、この脆弱性が一貫して初期侵入経路として使われていました。
今回のキャンペーンでは、境界防御の突破からドメイン全体の暗号化までが急速に進行しました。ただし侵入後の戦術は、Qilinのランサムウェア・アズ・ア・サービス(RaaS)モデルの下で活動するアフィリエイトごとに異なっていました。
Palo Alto Networksは2026年5月13日にこの問題を公表しており、Rapid7は早くも5月17日の時点で実際の悪用を観測していました。その後CISAは、この脆弱性を既知の悪用された脆弱性(KEV)カタログに追加し、連邦政府機関に対して2026年6月1日までの対応を義務付けました。
影響を受けるバージョンはPAN-OS 12.1、11.2、11.1、10.2およびPrisma Accessで、Cloud NGFWとPanoramaは影響を受けません。
Arctic Wolfが確認した悪用活動は、多数の外部IPアドレスから発生していました。一部のセッションはホスト名を「kali」と自己申告するシステムから確立されており、Kali Linuxの攻撃プラットフォームであることがうかがえます。また、悪用とその後のVPNアクセスの両方で同一の送信元IPアドレスが使い回されているケースも確認されました。
侵入後、攻撃者は特徴的なレジストリのRunキーのパターンを用いて永続化を図り、AnyDesk、Ngrok、LogMeInを含む複数のリモートアクセスツールを重ねて展開していました。
認証情報の窃取は、rundll32.exeとcomsvcs.dllを利用したLSASSメモリダンプに続いて、ntdsutilのInstall From Media方式によるドメイン全体のNTDS抽出という形で行われました。これにより攻撃者は、ドメイン内のすべてのアカウントの認証情報を手に入れています。
横展開は主にPsExecとWindows管理共有の組み合わせに依存しており、これをSoftPerfect Network ScannerとNetExecによる偵察が補完していました。RDPは副次的な経路として利用されていました。
ランサムウェアを展開する前に、攻撃者はPowerShellスクリプトを実行して企業全体のWindowsイベントログを消去し、Microsoft Defenderのリアルタイム保護を無効化して検知を回避していました。
データ窃取を伴う侵入事案では、攻撃者は暗号化前にRclone、ProtonDrive、FileZillaを使ってデータをMEGAクラウドストレージへ持ち出す一方、Veebamのバックアップ基盤も標的にして復旧手段を奪っていました。
一方、データ窃取を一切行わずそのまま暗号化に移行した侵入事案もありました。この違いは、同一のRaaSツールキットを使いながらも異なる目的を追求する複数のアフィリエイトが存在することと一致しています。
Qilinのペイロードは一貫してwin.exeという名前が付けられ、Windowsの既定のディレクトリでありほとんど監視されることのないC:\PerfLogs\に配置されていました。実行時にはパスワードによるゲートと–no-adminフラグが使われ、UACプロンプトの発生を回避していました。
暗号化されたファイルには、侵入事案ごとに固有の英数字の拡張子が付与されました。これはビルダーベースで運用されるQilinの特徴であり、同グループは2022年から活動を続けており、2026年だけで500件を超える被害者を出したと主張しています。
セキュリティチームは、C:\PerfLogs\内での実行ファイル作成を監視するとともに、ホスティングプロバイダーのIPアドレスや「kali」という名前のホストからのVPNセッションを注意深く追跡し、企業全体でのログ消去に備えてログを一元化されたSIEMへ転送し、フォレンジックデータを保全すべきです。
悪用が疑われる場合、攻撃者が一貫してドメイン全体の侵害へとエスカレーションしていることを踏まえると、KRBTGTを含むすべてのドメイン認証情報を2回ローテーションすることが極めて重要です。
より強力な予防的防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/qilin-ransomware-exploits-palo-alto-globalprotect-flaw/
