CTT Report Hub

#ParsedReport #CompletenessMedium 29-07-2026 Cookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware https://arcticwolf.com/resources/blog-uk/cookie-crumbles-how-exploitation-of-cve-2026-0257-leads-to-qilin-ransomware/ Report completeness:…

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В июне 2026 года эксплуатация уязвимости CVE-2026-0257, позволяющей обойти аутентификацию в межсетевых экранах Palo Alto Networks, привела к развертыванию ransomware Qilin. Злоумышленники использовали эту уязвимость для получения несанкционированного доступа по VPN, что способствовало повышению привилегий, сбору учетных записей и перемещению внутри компании. Техники пост-эксплуатации включали использование PsExec для выполнения задач, поддержание удаленного доступа с помощью таких инструментов, как AnyDesk, и применение тактик двойного вымогательства, при этом полезная нагрузка Qilin уникально выполнялась с определенными параметрами и помечала скомпрометированные файлы специфическими расширениями.
-----

В июне 2026 года Arctic Wolf Labs выявила серию вторжений, приведших к развертыванию ransomware Qilin, все из которых были вызваны эксплуатацией критической уязвимости CVE-2026-0257, присутствующей в сетевых экранах Palo Alto Networks. Эта уязвимость, представляющая собой обход аутентификации, затрагивающий функциональность GlobalProtect VPN, позволяет несанкционированным злоумышленникам устанавливать VPN-сессии без действительных учетных данных. Как следует из наблюдаемой активности, эксплуатация позволила получить аутентифицированный доступ к сетям жертв, что дало злоумышленникам возможность повышать привилегии, собирать учетные данные и облегчать перемещение внутри компании по всей среде.

Злоумышленники применяли различные техники после эксплуатации, которые варьировались от простой шифрования файлов до сложных тактик двойного вымогательства, что указывает на потенциальную операцию различных аффилиатов по модели программы-вымогателя как услуга (RaaS) Qilin. Последовательно используемые тактики включали размещение полезной нагрузки программы-вымогателя в определенной директории (C: PerfLogs), латеральное выполнение через PsExec с использованием административных общих ресурсов и систематическую очистку журналов для уклонения от обнаружения. Сообщалось, что злоумышленники использовали такие инструменты, как AnyDesk, Ngrok и LogMeIn, для поддержания удаленного доступа после компрометации.

Сбор учетных записей был ключевым этапом в этих атаках, при этом такие методы, как дампинг LSASS и извлечение конфиденциальных данных из базы данных NTDS, были обычным явлением. Злоумышленники также проводили обширную разведку сетевых ресурсов, что способствовало их латеральному перемещению с использованием PsExec и Протокол удаленного рабочего стола (RDP). Наблюдаемое поведение демонстрировало устойчивые паттерны, такие как выборочная очистка журналов и отключение средств защиты безопасности, чтобы предотвратить обнаружение до активации ransomware.

Вредоносная нагрузка ransomware Qilin обычно называлась "win.exe" и была структурирована таким образом, что выполнялась только после получения корректных параметров командной строки, что усложняло усилия по реагированию на инциденты. Зашифрованные файлы помечались отличительными расширениями, что являлось отличительной чертой операций Qilin. Во многих случаях данные эксфильтровались на платформы облачного хранилища до развертывания ransomware, что было стратегией для оказания максимального давления на жертв в рамках вымогательства, а также для поддержания вариативности, наблюдаемой в различных инцидентах.

Рекомендуемые проактивные меры по смягчению этой угрозы включали немедленное исправление уязвимости CVE-2026-0257, мониторинг аномального доступа по VPN, защиту конфиденциальных каталогов и внедрение надежных практик ведения журналов. Примечательно, что защитникам рекомендуется предпринимать ранние действия на фазе первоначального доступа, чтобы предотвратить потенциально необратимый ущерб, возникающий в результате получения учетных данных или развертывания программ-вымогателей. Завершающий характер этих вторжений указывает на устойчивую тенденцию в киберугрозах, использующих уязвимости периметра в качестве шлюзов для масштабной компрометации сети и вымогательства.

15 views15:22