Palo Alto Networks ha informado que continúa observando la explotación de una vulnerabilidad de seguridad ya parcheada que afecta a PAN-OS y Prisma Access por parte de actores de ransomware.
La actividad está relacionada con CVE-2026-0257 (puntuación CVSS: 7.8), una falla de omisión de autenticación que podría ser explotada por malos actores para establecer conexiones VPN no autorizadas. Palo Alto Networks la parcheó en mayo de 2026 y la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) la añadió a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 13 de mayo de 2026.
«Los operadores de ransomware que explotan CVE-2026-0257 incluyen a Spikey Scorpius (también conocido como Qilin) y Tarnished Scorpius (también conocido como INC)», según investigadores de Unit 42 en una actualización compartida el lunes. Este desarrollo se produce días después de que ReliaQuest informara que había detectado a los grupos de ransomware Qilin y Settra explotando activamente la falla en ataques con motivación económica.
Según Unit 42, los actores de amenazas están armamentizando la falla para obtener un punto de apoyo inicial en las redes corporativas y luego eludir los controles de autenticación multifactor (MFA) para establecer una sesión VPN.
Una vez establecida la sesión VPN, se ha observado que los atacantes realizan las siguientes actividades posteriores al compromiso:
- Realizan reconocimiento interno de la red utilizando herramientas de monitoreo y gestión remota (RMM) de doble uso.
- Se mueven lateralmente por la red a través de RDP y SMB.
- Preparan herramientas adicionales para la recolección de credenciales, exfiltración de datos y despliegue de ransomware.
Se dice que los ataques llevados a cabo por estos grupos han tenido como objetivo una amplia gama de sectores, incluidos educación, servicios financieros, atención médica, alta tecnología, hostelería, fabricación, servicios profesionales y legales, gobierno, transporte y logística, servicios públicos y energía, y comercio minorista.
«La evolución más significativa en tácticas, técnicas y procedimientos (TTP) tras la explotación exitosa de CVE-2026-0257 es el pivote directo a la capa de virtualización», dijo Unit 42.
«En un caso notable, los atacantes pasaron de la puerta de enlace VPN comprometida al dispositivo de gestión vCenter. Desde allí, deshabilitaron los controles de seguridad en los hipervisores ESXi (execInstalledOnly) y utilizaron una herramienta personalizada para realizar un volcado de credenciales fuera de línea directamente contra el disco virtual (VMDK) de un controlador de dominio».
Este enfoque, añadió el proveedor de seguridad de red, evita la detección y respuesta de puntos finales (EDR) dentro del invitado y las protecciones de seguridad, permitiendo a los actores de amenazas obtener credenciales de todo el dominio.
También se ha observado a los atacantes encadenando el método de acceso inicial con otras herramientas de explotación, incluidos esfuerzos para atacar la infraestructura de respaldo de Veeam abusando de fallas conocidas (CVE-2023-27532) para infligir el máximo daño.
Cabe señalar que la explotación de CVE-2026-0257 por parte de Qilin fue señalada anteriormente por Arctic Wolf en julio de 2026, con ataques que van desde operaciones rápidas de solo cifrado hasta doble extorsión completa.
Además de aplicar los últimos parches, Palo Alto Networks recomienda que las organizaciones busquen proactivamente indicadores de compromiso e inicien los protocolos de respuesta a incidentes apropiados si se detectan eventos exitosos de conexión a la puerta de enlace.
Deja una respuesta