📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Foram observados atores de ameaças explorando uma vulnerabilidade PAN-OS da Palo Alto Networks de alta gravidade, agora corrigida, como um ponto de entrada para implantar o ransomware Qilin (também conhecido como Agenda) nos ambientes das vítimas.
O Arctic Wolf Labs disse que investigou várias invasões em junho de 2026 que começaram com a exploração do CVE-2026-0257 (pontuação CVSS: 7,8), uma falha de desvio de autenticação que afeta os componentes do portal e gateway do software PAN-OS.
A exploração bem-sucedida da falha permite que invasores remotos não autenticados evitem a autenticação e estabeleçam sessões VPN sem credenciais válidas quando os cookies de substituição de autenticação são habilitados com configurações de certificado específicas.
“O comércio pós-exploração variou entre as intrusões, desde operações rápidas apenas de criptografia até extorsão dupla completa, possivelmente sugerindo múltiplas afiliadas operando sob o guarda-chuva Qilin ransomware-as-a-service (RaaS)”, disse a empresa de segurança cibernética.
“Os invasores demonstraram padrões operacionais consistentes, apesar das variações de tradecraft: encenação de ransomware em C:\PerfLogs\, uso de PsExec para execução lateral por meio de compartilhamentos administrativos, implantação de cargas úteis de ransomware protegidas por senha e implementação de rotinas abrangentes de limpeza de log.”
Descobriu-se que os agentes da ameaça transformaram a falha em uma arma para obter acesso autenticado às redes das vítimas, estabelecendo sessões SSL VPN, seguidas de escalada de seus ataques para facilitar a coleta de credenciais e a movimentação lateral por meio de compartilhamentos administrativos do Windows por meio de contas administrativas comprometidas.
A atividade também é caracterizada pelos invasores tomarem medidas deliberadas para limpar logs de eventos e desabilitar a proteção em tempo real do Microsoft Defender antes de executar a carga do ransomware, de modo a minimizar a probabilidade de detecção e evitar deixar evidências forenses.
Apesar das semelhanças nos caminhos de preparação do ransomware, na execução baseada em PsExec e em um padrão incomum de persistência no Registro do Windows (ou seja, um asterisco seguido por seis caracteres alfabéticos minúsculos aleatórios), os ataques subsequentes variaram entre as vítimas.
Isso variou desde criptografia em toda a empresa sem exfiltração de dados e reconhecimento extensivo por meio de ferramentas de acesso remoto como AnyDesk, Ngrok ou LogMeIn até roubo de credenciais em grande escala e instâncias de exfiltração de dados para o serviço de nuvem MEGA antes da implantação de ransomware usando Rclone, Proton Drive e FileZilla.
“Essa variabilidade é consistente com os modelos RaaS, nos quais múltiplas afiliadas podem aproveitar a infraestrutura de acesso inicial compartilhado e ferramentas de ransomware enquanto aplicam suas próprias metodologias pós-exploração preferidas”, disse Arctic Wolf.
O Arctic Wolf Labs disse que investigou várias invasões em junho de 2026 que começaram com a exploração do CVE-2026-0257 (pontuação CVSS: 7,8), uma falha de desvio de autenticação que afeta os componentes do portal e gateway do software PAN-OS.
A exploração bem-sucedida da falha permite que invasores remotos não autenticados evitem a autenticação e estabeleçam sessões VPN sem credenciais válidas quando os cookies de substituição de autenticação são habilitados com configurações de certificado específicas.
“O comércio pós-exploração variou entre as intrusões, desde operações rápidas apenas de criptografia até extorsão dupla completa, possivelmente sugerindo múltiplas afiliadas operando sob o guarda-chuva Qilin ransomware-as-a-service (RaaS)”, disse a empresa de segurança cibernética.
“Os invasores demonstraram padrões operacionais consistentes, apesar das variações de tradecraft: encenação de ransomware em C:\PerfLogs\, uso de PsExec para execução lateral por meio de compartilhamentos administrativos, implantação de cargas úteis de ransomware protegidas por senha e implementação de rotinas abrangentes de limpeza de log.”
Descobriu-se que os agentes da ameaça transformaram a falha em uma arma para obter acesso autenticado às redes das vítimas, estabelecendo sessões SSL VPN, seguidas de escalada de seus ataques para facilitar a coleta de credenciais e a movimentação lateral por meio de compartilhamentos administrativos do Windows por meio de contas administrativas comprometidas.
A atividade também é caracterizada pelos invasores tomarem medidas deliberadas para limpar logs de eventos e desabilitar a proteção em tempo real do Microsoft Defender antes de executar a carga do ransomware, de modo a minimizar a probabilidade de detecção e evitar deixar evidências forenses.
Apesar das semelhanças nos caminhos de preparação do ransomware, na execução baseada em PsExec e em um padrão incomum de persistência no Registro do Windows (ou seja, um asterisco seguido por seis caracteres alfabéticos minúsculos aleatórios), os ataques subsequentes variaram entre as vítimas.
Isso variou desde criptografia em toda a empresa sem exfiltração de dados e reconhecimento extensivo por meio de ferramentas de acesso remoto como AnyDesk, Ngrok ou LogMeIn até roubo de credenciais em grande escala e instâncias de exfiltração de dados para o serviço de nuvem MEGA antes da implantação de ransomware usando Rclone, Proton Drive e FileZilla.
“Essa variabilidade é consistente com os modelos RaaS, nos quais múltiplas afiliadas podem aproveitar a infraestrutura de acesso inicial compartilhado e ferramentas de ransomware enquanto aplicam suas próprias metodologias pós-exploração preferidas”, disse Arctic Wolf.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #atacantes #do #qilin #ransomware #exploram #desvio #de #autenticação #panos #para #acesso #inicial
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário