A Palo Alto Networks informou que continua observando ataques de operadores de ransomware que exploram uma falha de segurança já corrigida no PAN-OS e no Prisma Access.
A vulnerabilidade, identificada como
CVE-2026-0257
e com pontuação 7,8 no CVSS, permite contornar a autenticação e estabelecer conexões VPN sem autorização. A Palo Alto Networks lançou uma correção em maio de 2026. Em 13 de maio, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu a falha em seu catálogo de vulnerabilidades conhecidas por serem exploradas.
“Operadores de ransomware que exploram a
CVE-2026-0257
incluem Spikey Scorpius, também conhecido como Qilin, e Tarnished Scorpius, também conhecido como INC”, disseram pesquisadores da Unit 42 em uma atualização divulgada na segunda-feira. A informação foi publicada dias depois de a ReliaQuest afirmar que identificou os grupos de ransomware Qilin e Settra explorando ativamente a falha em ataques motivados por ganhos financeiros.
Segundo a Unit 42, os agentes maliciosos usam a vulnerabilidade para obter acesso inicial às redes corporativas e, em seguida, contornar os controles de autenticação multifator (MFA) para estabelecer uma sessão VPN.
Depois de estabelecer a conexão, os invasores foram vistos realizando as seguintes atividades:
- Mapeamento da rede interna com ferramentas de monitoramento e gerenciamento remoto (RMM) de uso duplo.
- Movimentação lateral pela rede por meio de protocolos de acesso remoto à área de trabalho e compartilhamento de arquivos.
- Preparação de ferramentas adicionais para coletar credenciais, exfiltrar dados e implantar ransomware.
Os ataques desses grupos teriam atingido diversos setores, incluindo educação, serviços financeiros, saúde, alta tecnologia, hotelaria, indústria, serviços profissionais e jurídicos, governo, transporte e logística, serviços públicos, energia e varejo.
“A mudança mais significativa nas táticas, técnicas e procedimentos após a exploração bem-sucedida da
CVE-2026-0257
é o avanço direto para a camada de virtualização”, afirmou a Unit 42.
“Em um caso notável, os invasores partiram do gateway VPN comprometido e chegaram ao dispositivo de gerenciamento vCenter. Em seguida, desativaram controles de segurança nos hipervisores ESXi, incluindo o execInstalledOnly, e usaram uma ferramenta personalizada para extrair credenciais offline diretamente do disco virtual (VMDK) de um controlador de domínio.”
Segundo a empresa de segurança de redes, essa abordagem contorna as proteções de detecção e resposta em endpoints (EDR) instaladas nos sistemas convidados e permite que os agentes maliciosos obtenham credenciais com acesso a todo o domínio.
Também foram identificados ataques que combinaram o método de acesso inicial com outras ferramentas de exploração. Entre eles, houve tentativas de atingir a infraestrutura de backup da Veeam por meio da exploração da vulnerabilidade conhecida como
CVE-2023-27532
, com o objetivo de causar o máximo de dano.
Em julho de 2026, a Arctic Wolf já havia alertado sobre a exploração da
CVE-2026-0257
pelo Qilin. Os ataques variaram de operações rápidas de criptografia a casos de dupla extorsão.
Além de instalar as correções mais recentes, a Palo Alto Networks recomenda que as organizações procurem proativamente indicadores de comprometimento e iniciem os procedimentos adequados de resposta a incidentes caso identifiquem eventos bem-sucedidos relacionados a gateways.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...