Badacze z Unit 42 ostrzegają przed aktywnością grup ransomware Qilin oraz INC, które wykorzystują lukę CVE-2026-0257 w rozwiązaniach Palo Alto Networks. Podatność ta pozwala na obejście mechanizmów MFA i ustanowienie nieautoryzowanych połączeń VPN, co służy jako punkt wejścia do sieci firmowych.
Po uzyskaniu dostępu napastnicy przeprowadzają rekonesans przy użyciu narzędzi RMM, poruszają się bocznie przez protokoły RDP i SMB oraz przygotowują infrastrukturę do kradzieży danych i ataku ransomware. Szczególnie niebezpieczną taktyką jest atak na warstwę wirtualizacji, gdzie sprawcy przechodzą z bramy VPN bezpośrednio do zarządzania vCenter.
Z tego poziomu atakujący potrafią wyłączyć zabezpieczenia na hiperwizorach ESXi i przeprowadzać offline'owe zrzuty poświadczeń bezpośrednio z dysków wirtualnych (VMDK). Pozwala to na całkowite obejście systemów EDR działających wewnątrz systemów operacyjnych i przejęcie uprawnień domenowych.
Dodatkowo obserwuje się łańcuchowanie ataków poprzez wykorzystywanie innych luk, na przykład w infrastrukturze kopii zapasowych Veeam, co ma na celu maksymalizację zniszczeń. Eksperci zalecają pilną aktualizację systemów PAN-OS oraz aktywne poszukiwanie wskaźników kompromitacji (IoC) w sieciach.
