Cookie Crumbles: Wie die Ausnutzung von CVE-2026-0257 zu Qilin-Ransomware führt

Schwachstellen-Überblick: CVE-2026-0257

CVE-2026-0257 ist eine Authentifizierungs-Bypass-Schwachstelle, die das GlobalProtect-Portal und -Gateway in Palo Alto Networks PAN-OS betrifft, mit einem CVSS-Score von 7,8 (Hoch). Betroffene Versionen umfassen PAN-OS 10.2, 11.1, 11.2 und 12.1 in bestimmten Unterversionen.

Beobachtete Post-Exploitation-Schritte

1. VPN-Sitzungen wurden von Systemen mit dem Hostnamen kali aus aufgebaut
2. Registry-Run-Key-Persistenz mit dem Muster *[a-z]{6}
3. Eingesetzte Remote-Tools: AnyDesk, Ngrok, LogMeIn, MeshAgent
4. LSASS-Dump über rundll32.exe/comsvcs.dll; Ausgabe in .odt-Erweiterung geschrieben, um .dmp-Erkennung zu umgehen
5. NTDS-Extraktion via ntdsutil.exe IFM-Methode
6. Netzwerk-Scan mit SoftPerfect Network Scanner und NetExec
7. Laterale Bewegung via PsExec und RDP
8. Log-Löschung über PowerShell-Routine, die alle Windows-Ereignisprotokolle anvisiert – dadurch können Bedrohungsakteure Beweise über die gesamte forensische Oberfläche in einem Schritt vernichten
9. Exfiltrations-Tools: Rclone, ProtonDrive, FileZilla – primär zu MEGA Cloud-Speicher
10. Ransomware-Payload (win.exe) in C:\PerfLogs\ bereitgestellt, ausgeführt mit Passwort-Gate und --no-admin-Flag

Analystenbewertung

Die Perimeter-Kompromittierung ist der kritische Punkt für Verteidiger. Nach einer erfolgreichen Ausnutzung hängt die Auswirkung von den Zielen des Angreifers ab. Bei diesen Einbrüchen bewegten sich die Bedrohungsakteure methodisch vom Erstzugang über den Anmeldedatendiebstahl bis zur Ransomware-Bereitstellung – gemäß einem etablierten Post-Exploitation-Playbook.

Empfehlungen

• Sofort verfügbare Patches für PAN-OS für alle betroffenen Versionen einspielen
• VPN-Sitzungsprotokolle auf Verbindungen von Systemen mit dem Namen kali oder unerwarteten IP-Bereichen überprüfen
• Registry-Run-Keys und geplante Tasks auf Persistenzmechanismen prüfen
• Verwendung von ntdsutil.exe IFM außerhalb autorisierter Backup-Fenster sperren oder alarmieren
• Nicht autorisierte Bereitstellung von Remote-Access-Tools überwachen (AnyDesk, Ngrok, MeshAgent)
• rclone und ähnliche Exfiltrations-Tools in Ihrer Umgebung prüfen und einschränken

IOCs sind im öffentlichen GitHub-Repository von Arctic Wolf verfügbar.