QilinとINCのランサムウェア攻撃者が、Palo Alto Networks PAN-OSの認証バイパス脆弱性CVE-2026-0257を悪用し、GlobalProtect VPNサービス経由で企業ネットワークに侵入しています。
Unit 42が10月19日に公開した更新情報によると、両者はそれぞれ「Spikey Scorpius」「Tarnished Scorpius」と識別されています。一方、別の公開報道では、この脆弱性の悪用がSettraランサムウェアを展開する攻撃者とも結び付けられています。
この脆弱性はGlobalProtectのポータルおよびゲートウェイのコンポーネントに影響します。攻撃者は認証制御を回避し、許可を得ずにVPN接続を確立できます。
Unit 42によると、攻撃者はこの悪用によって多要素認証（MFA）を迂回し、標的組織内部への最初の足掛かりを得ています。CISAは2026年5月13日、この脆弱性を悪用が確認された脆弱性（KEV）カタログに追加しました。
6月初旬から続く調査は、教育、金融サービス、医療、テクノロジー、製造、政府、エネルギー、運輸、ホスピタリティ、小売、専門サービスの各分野に及んでいます。
今回の更新では、侵害後に大規模な活動が行われていたことが明らかになりました。脅威概要の初期評価で説明されていた、成功したVPN接続は限定的という見方を超える内容です。
攻撃者はアクセスを確立すると、通常、二重用途のリモート監視・管理（RMM）ツールを使って内部偵察を行います。
その後、リモートデスクトッププロトコル（RDP）やServer Message Block（SMB）接続を介して横展開します。さらに、認証情報の窃取、データの持ち出し、最終的なランサムウェア展開のためのユーティリティを配置します。
Unit 42は、仮想化基盤への大きな方針転換を指摘しています。同チームが調査した侵入事例の1件では、攻撃者は侵害したVPNゲートウェイからVMware vCenter管理アプライアンスへ移動していました。
攻撃者はその後、ESXiハイパーバイザー上のセキュリティ制御execInstalledOnlyを無効化しました。さらに、ドメインコントローラーの仮想ディスクに対してカスタムツールを実行しています。
このツールは、VMDKから直接、オフラインで認証情報を窃取します。そのため、ゲストシステム内で動作するエンドポイントの検知・対応（EDR）による保護を回避できます。
この手法では、監視対象のOSの外側で認証情報を抽出できます。ドメイン全体の認証情報が漏えいするおそれがあります。
調査担当者は、攻撃者が初期アクセスに加え、CVE-2023-27532を狙うVeeamバックアップ基盤向けのエクスプロイトツールも組み合わせていたことを確認しました。
防御側は、不審なインフラやクライアント識別子に関連し、ゲートウェイ接続に成功したイベントがないか、GlobalProtectのログを優先的に確認してください。
報告されている送信元アドレスは、23.128.228[.]6、104.207.144[.]154、179.43.172[.]213、185.195.232[.]139、202.144.192[.]47です。これらの指標は、5月29日に概念実証（PoC）コードが公開される前の活動を調べる際に、特に重要です。
不審なデバイス名として、WINDOWS-LAPTOP-001、DESKTOP-GP01、GP-CLIENTが挙げられています。調査担当者は、ホスト識別子aa:bb:cc:dd:ee:ffと00:11:22:33:44:55も確認しました。これらの値を使った接続に成功したセッションは、送信元IPアドレスにかかわらず調査が必要です。
エクスプロイトコードの公開後の活動については、endpoint_os_versionが「Microsoft Windows 10 Pro 64-bit」で、source_user_info.domainフィールドが空の接続を調べる必要があります。
Palo Alto Networksは、影響を受ける環境を修正済みのソフトウェアにアップグレードするか、セキュリティアドバイザリに記載された緩和策や回避策を適用するよう推奨しています。
これらの指標に関連してゲートウェイ接続に成功したイベントが見つかった組織は、単なる失敗したインターネットスキャンとして扱わず、インシデント対応手順を発動してください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームでの導入を検討する
翻訳元: https://cyberpress.org/qilin-inc-ransomware-palo-alto-networks-vpn/
