Los grupos de ransomware Qilin e INC aprovechan una vulnerabilidad de Palo Alto Networks para eludir la autenticación multifactorial (MFA)
Palo Alto Networks ha informado sobre el uso continuo de una vulnerabilidad de seguridad ya parcheada que afecta a PAN-OS y Prisma Access por parte de actores de ransomware. Dicha falla de autenticación permite que los atacantes configuren conexiones de red privada virtual (VPN) sin autorización.
Investigadores de Unit 42 señalaron que operadores de ransomware como Spikey Scorpius y Tarnished Scorpius están aprovechando esta brecha para penetrar en redes corporativas y eludir los controles de autenticación multifactor (MFA). Posteriormente, realizan actividades posteriores a la intrusión como reconocimiento interno, movimientos laterales mediante herramientas específicas y preparación de utilidades adicionales para robar credenciales, extraer datos e implementar ransomware.
Las agresiones han afectado a múltiples sectores, abarcando educación, finanzas, salud, tecnología, hotelería, manufactura, servicios jurídicos y profesionales, gobierno, transporte y logística, energía, servicios públicos y comercio minorista. Como evolución en sus tácticas, los atacantes se desplazan directamente hacia la capa de virtualización para desactivar protecciones y ejecutar operaciones de extracción de credenciales, logrando evadir la detección en los puntos finales.
Asimismo, se ha detectado que los atacantes combinan este acceso inicial con otras herramientas de explotación dirigidas contra infraestructuras de respaldo para ocasionar un mayor daño. Ante esta situación, Palo Alto Networks aconseja aplicar los parches correspondientes, buscar activamente indicadores de compromiso y poner en marcha los protocolos de respuesta a incidentes si se detectan eventos sospechosos conectados a la pasarela.