脆弱なVPNゲートウェイが1台あるだけで、企業ネットワーク全体が危険にさらされる可能性があります。Qilin恐喝グループのアフィリエイトは、新たに発見されたPAN-OS GlobalProtectの欠陥をまさにその目的で悪用し始めています。
Arctic Wolfの専門家は、2026年6月に発生した複数の攻撃をこの脆弱性に関連付けています。いずれの事案も最終的にWindowsシステムの暗号化に至りました。
脆弱性の詳細
CVE-2026-0257は、攻撃者がGlobalProtectのポータルおよびゲートウェイにおける認証を回避することを可能にします。その結果、攻撃者は有効な認証情報がなくても不正なVPN接続を確立できてしまいます。
この脆弱性はPAN-OSを実行するPalo Alto Networks製アプライアンスに影響します。ただし、PanoramaおよびCloud NGFWの展開には影響しません。
嵐の前に届いていたパッチ
Palo Alto Networksは5月13日に修正パッチをリリースしました。その2週間後、Rapid7の専門家は、未更新のシステムに対する攻撃を確認しています。
CISAは5月末、この脆弱性を既知の悪用済み脆弱性カタログに追加しました。この措置自体が、事態の緊急性を如実に物語っていました。
侵入の経緯
侵入と持続化
調査対象となったすべての事案において、攻撃者はKali Linuxを実行するシステムからVPN経由で接続していました。その後、ネットワーク内に足場を築いています。
攻撃者はオートラン(自動実行)キー、スケジュールタスク、リモートアクセスツールを足場の確保に利用しました。いずれの手法も目新しいものではありませんが、組み合わせることで極めて高い持続性を発揮しました。
認証情報の窃取と横方向への展開
その後、攻撃者はLSASSメモリおよびActive Directoryデータベースから認証情報を窃取しました。そこを起点に、PsExecとRDPを使ってネットワーク内を横断的に移動しています。
最終的に、攻撃者はドメイン全体にQilinを展開しました。境界の侵害からドメイン全体の暗号化に至るまでの道のりは、驚くほど短いものでした。
2つの異なる攻撃手口
侵入後の挙動は、事案によって大きく分かれました。ある侵入事案では、攻撃者はインフラを即座に暗号化し、データは一切窃取しませんでした。
一方、別の事案ではより周到なアプローチが取られました。これらの攻撃者は偵察活動を行い、Microsoft Defenderを無効化し、Windowsのイベントログを消去しています。さらに、AnyDesk、Ngrok、LogMeInをインストールしたうえで、クラウドストレージ経由でデータを外部に持ち出し、その後にランサムウェアを起動しました。
Arctic Wolfの分析によると、こうした違いは、複数のQilinアフィリエイトがランサムウェア・アズ・ア・サービス(RaaS)モデルの下でそれぞれ独自に活動していることを反映している可能性があるといいます。
攻撃に使われたペイロード
悪意のあるファイルには、一般的に「win.exe」という名前が付けられていました。攻撃者はこれをC:\PerfLogsディレクトリに配置し、パスワード保護されたパラメータを付与して実行していました。
実行されると、このプログラムはファイルを暗号化し、特徴的な拡張子を付加しました。この拡張子はキャンペーンごとに異なっていました。
脅威が継続する理由
Arctic Wolfは、CVE-2026-0257を悪用した攻撃がなおも継続している可能性が高いとみています。この見立ての根拠となっているのは、脆弱なアプライアンスを狙った活発なスキャン活動です。
そのためPalo Alto Networksは、管理者に対しリリース済みの更新プログラムを導入するか、推奨される緩和策を適用するよう強く呼びかけています。とりわけ、外部からアクセス可能なGlobalProtectゲートウェイについては、最優先での対応が求められます。
実践的な防御策
パッチ適用が最優先事項であることに変わりはありませんが、それだけでは十分とは言えません。Windowsのイベントログを中央のSIEMに転送しておけば、ローカルログが消去された場合でも証拠を保全できます。
同様に、想定外のリモートアクセスツールの使用や、不審なVPNセッションにも注意を払う必要があります。こうした兆候は、暗号化が始まるよりずっと前に表れることが少なくありません。
翻訳元: https://meterpreter.org/cve-2026-0257-qilin-ransomware/
