GlobalProtect aktiv ausgenutzt: Qilin nutzt das Palo Alto VPN

Eine kritische Authentifizierungs-Umgehungslücke in PAN-OS auf der GlobalProtect-Portal-Seite (das VPN-Firewall von Palo Alto Networks) wird nun in der realen Welt vom Ransomware-Gang Qilin ausgenutzt. Arctic Wolf, übermittelt durch BleepingComputer, bestätigt aktive Einbrüche: Das Update kann nicht länger warten.

Die Fakten

BleepingComputer berichtet, gestützt auf die Beobachtungen von Arctic Wolf, dass die Cyberkriminellengruppe Qilin (Ransomware-as-a-Service, aktiv seit 2022, bekannt für Angriffe auf den Gesundheitssektor und den Einzelhandel) nun eine kritische Authentifizierungs-Umgehungslücke in PAN-OS ausnutzt, auf der GlobalProtect-Portal-Seite von Palo Alto Networks - das heißt im Firmware des Firewalls/Portals, das exponiert ist, und nicht auf der Seite des Endbenutzers. Die beobachteten Intrusionen zielen darauf ab, den hausgemachten Ransomware von Qilin in den Netzwerken der Opfer zu verbreiten.

Wer ist betroffen

• Organisationen, die das GlobalProtect-Portal (Palo Alto Firewall für Remote-Zugriff) im Internet exponieren - das heißt die überwiegende Mehrheit der PAN-OS-Implementierungen, die VPN bereitstellen.
• Maximale Priorität für wertvolle Ziele: Krankenhäuser, Anwaltskanzleien, Industrie, Gemeinden - das übliche Vorgehen von Qilin.

Was die Angelegenheit ernst macht

Drei kumulierte Elemente:

1. Aktive Ausnutzung - wir sind von der Theorie (Advisory) zur Beobachtung erfolgreicher Intrusionen übergegangen, die von Arctic Wolf dokumentiert wurden.
2. Kompromittierte Perimeter-Firewalls - ein kompromittiertes PAN-OS-Portal bedeutet direkten Zugriff auf das interne Netzwerk über ein vertrauenswürdiges Gerät am Netzwerkrand, nicht nur einen einfachen Benutzerarbeitsplatz.
3. Kettenbildung zu Ransomware - die Ausnutzung dient nicht dazu, heimlich zu spionieren, sondern dazu, zu verschlüsseln und Lösegeld zu verlangen. Das Reaktionsfenster wird in Stunden gemessen.

Was jetzt zu tun ist

• Überprüfen Sie die PAN-OS-Version aller exponierten GlobalProtect-Portale und wenden Sie sofort den entsprechenden Palo Alto-Patch für das laufende Advisory an (siehe security.paloaltonetworks.com).
• Jagen Sie die IoCs, die von Arctic Wolf und den Threat-Intelligence-Teams veröffentlicht wurden, die Qilin verfolgen.
• Auditing der Konten, die das VPN im Expositionsfenster genutzt haben: anomale Sitzungen, Erstellung lokaler Konten, unerwartete PowerShell-Ausführung.
• Isolieren Sie jeden Host, der vom VPN-Portal aus mit verdächtigem lateralem Verhalten (SMB, WinRM, internes RDP) kontaktiert wurde.

Analyse

Wir erleben das klassische Szenario eines VPN-Edge-Geräts, das in eine Einfallstraße für Intrusionen verwandelt wird - wie wir es in den letzten Jahren bei Ivanti, Fortinet und Citrix gesehen haben. Qilin folgt einem grundlegenden Trend: RaaS-Gruppen kaufen (oder entwickeln) schnell Exploits für Randgeräte, genau weil das Fenster zwischen der Veröffentlichung des Advisories und dem Patch-Deployment in Unternehmen viel zu groß bleibt. Ein PAN-OS-Firewall wie einen gewöhnlichen Anwendungsserver behandeln - gepatcht in 72 Stunden, mit Monitoring - ist keine Option mehr.