Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA
The Hacker News · 20 oct, 17:32
Qué hacer: Aplica el parche de Palo Alto Networks de mayo 2026 si aún no está instalado; realiza búsqueda proactiva de indicadores de compromiso (IoCs) de eventos exitosos conectados a gateway y activa protocolos de respuesta a incidentes si se detectan.
Palo Alto Networks confirma la explotación activa de CVE-2026-0257, una falla de autenticación en PAN-OS y Prisma Access ya parcheada en mayo de 2026, por los grupos de ransomware Qilin (Spikey Scorpius) e INC (Tarnished Scorpius). Los atacantes aprovechan la vulnerabilidad para eludir la autenticación multifactor (MFA), establecer conexiones VPN no autorizadas y obtener acceso inicial a redes corporativas de múltiples sectores.
Unit 42 ha documentado tácticas sofisticadas post-explotación que trascienden el perímetro: tras obtener acceso VPN, los atacantes realizan reconocimiento de red con herramientas RMM legítimas, se desplazan lateralmente vía RDP y SMB, y escalonan hacia la infraestructura de virtualización. La evolución más significativa es el pivote directo a la capa de virtualización: atacantes han pasado desde el gateway VPN comprometido al appliance de gestión vCenter, deshabilitado controles de seguridad en hipervisores ESXi (execInstalledOnly) y empleado herramientas personalizadas para extraer credenciales sin conexión directamente del disco virtual (VMDK) del controlador de dominio, eludiendo sistemas EDR en guest.
Esta metodología permite obtener credenciales válidas para toda el dominio. Los atacantes también han encadenado CVE-2026-0257 con otros exploits, incluyendo CVE-2023-27532 contra infraestructura Veeam para maximizar el daño. Se han identificado campañas de rango amplio contra educación, servicios financieros, sanidad, tecnología, hostelería, manufactura, servicios profesionales y legales, gobierno, logística, energía y comercio minorista.
Puntos clave
- CVE-2026-0257 parcheado en mayo 2026, añadido al catálogo KEV de CISA el 13 de mayo
- Qilin e INC explotan la falla para eludir MFA y establecer acceso VPN no autorizado
- Pivot a vCenter, deshabilitación de protecciones ESXi y extracción de credenciales desde VMDK del DC
- Explotación activa confirmada en múltiples sectores; encadenamiento con CVE-2023-27532 contra Veeam