ランサムウェアグループ、Palo Alto Networks製品の脆弱性への攻撃を拡大

Palo Alto Networksの研究者は、同社のGlobalProtectポータルに存在する深刻度の高い脆弱性について、公表から数カ月が経過した現在、ランサムウェア攻撃者による悪用が活発化していると警告しました。 

この認証バイパスの脆弱性はCVE-2026-0257として追跡されています。攻撃者はこの脆弱性を悪用すると、リモートアクセス製品に対して不正なVPN接続を確立できます。深刻度スコアは10点満点中7.8です。 

Palo Alto Networksの脅威インテリジェンス・インシデント対応部門であるUnit 42の報告によると、QilinとINCの両ランサムウェアグループがこの脆弱性を悪用しているとみられます。Unit 42の報告によれば、同社はこれらのグループをそれぞれSpikey Scorpius、Tarnished Scorpiusという名称で追跡しています。 

ReliaQuestの研究者は10月9日、QilinやSettraランサムウェアなど複数の攻撃グループに関連する悪用活動を確認したと、X上の投稿で報告しました。攻撃者はこの脆弱性を悪用して不正なVPNセッションを開始し、社内ネットワークへの初期侵入を果たしていました。 

ReliaQuestのGreyMatter Operations担当バイスプレジデント、Brandon Tirado氏はCybersecurity Diveの取材に対し、「公表から約5カ月が経過し、この脆弱性はランサムウェアグループにとってネットワークへの確実な侵入経路になっています。今後3カ月は、より多くのグループやアクセスブローカーが採用し、この傾向が続く可能性が高いでしょう」と語りました。  

ReliaQuestは、攻撃活動が社内のVPN経由で行われるため、正規のリモートアクセスセッションに見え、検知されない恐れがあると警告しています。検知される前に、認証情報の窃取、ラテラルムーブメント（横展開）、データ窃取、ランサムウェアの展開といった追加の攻撃活動が行われる可能性もあるといいます。 

研究者は、攻撃でCobalt Strike、BloodHound、SharpHoundなど複数のツールが展開されたことを確認しています。 

Arctic Wolfの研究者は、同社のブログ記事によると、6月に発生したQilinランサムウェア関連の複数の攻撃を調査しました。これらの攻撃は、迅速な暗号化から二重恐喝まで多岐にわたります。このことから、サービスとしてのランサムウェア（RaaS）として運営されるQilinの傘下にある、複数のアフィリエイトグループによる関連した活動とみられます。 

Arctic Wolfで敵対者オペレーションを統括するディレクターのJustin Moore氏は、「時系列を見ると、脆弱性の悪用で得たアクセスが短期間で永続的なリモートアクセスと、攻撃者が手動で操作するハンズオンキーボード型の活動に転用されていることがうかがえます。その結果、最終的にランサムウェアの展開が可能になっています」と述べています。

Unit 42の研究者は6月から、この脅威活動を調査しています。標的は教育、金融サービス、医療、IT、製造、政府機関など、さまざまな業界に及びます。 

Unit 42の研究者によると、注目すべき点は、攻撃者が悪用に成功した後、仮想化レイヤーへ移動することです。ある事例では、攻撃者が侵害したVPNからVMware vCenterの管理アプライアンスへ移動したことを研究者が確認しました。ESXiハイパーバイザー上のセキュリティ制御は無効化され、カスタムツールを使ってドメインコントローラーの仮想ディスクに対するオフラインでの認証情報ダンプが行われました。

Unit 42によると、この手口によって攻撃者はエンドポイントでの検知と対応（EDR）を回避できます。