GlobalProtect ativamente explorado: Qilin se aproveita do VPN Palo Alto

Uma vulnerabilidade crítica de *authentication bypass* no PAN-OS, no portal GlobalProtect (o firewall VPN da Palo Alto Networks), está agora sendo explorada na prática pelo grupo de *ransomware* Qilin. A Arctic Wolf, relatada pelo BleepingComputer, confirma intrusões ativas: o *patch* não pode mais esperar.

Os fatos

BleepingComputer relata, com base nas observações da Arctic Wolf, que o grupo criminoso Qilin (ransomware-as-a-service ativo desde 2022, conhecido por seus ataques contra saúde e varejo) agora explora uma falha crítica de bypass de autenticação no PAN-OS, no lado do portal GlobalProtect da Palo Alto Networks — ou seja, no firmware do firewall/portal exposto, e não no lado do cliente final. As intrusões observadas têm como objetivo o implante do ransomware próprio do Qilin nas redes das vítimas.

Quem é afetado

• Organizações que expõem o portal GlobalProtect (firewall Palo Alto em acesso remoto) na Internet — ou seja, a imensa maioria dos deployments do PAN-OS que servem como VPN.
• Prioridade máxima para alvos de alto valor: hospitais, escritórios de advocacia, indústria, entidades públicas — o modus operandi habitual do Qilin.

Por que o caso é sério

Três elementos cumulativos:

1. Exploração ativa — passou-se do teórico (advisory) para a observação de intrusões bem-sucedidas documentadas pela Arctic Wolf.
2. Firewall de perímetro comprometido — um portal PAN-OS comprometido significa acesso direto à rede interna via um equipamento de borda de confiança, não apenas um simples posto de trabalho.
3. Encadeamento para ransomware — a exploração não serve para espionagem discreta, mas para criptografar e extorquir. A janela de reação é medida em horas.

O que fazer agora

• Verificar a versão do PAN-OS de todos os portais GlobalProtect expostos e aplicar imediatamente o patch da Palo Alto correspondente ao advisory atual (cf. security.paloaltonetworks.com).
• Procurar por IoCs publicados pela Arctic Wolf e pelas equipes de threat intel que acompanham o Qilin.
• Auditar as contas que utilizaram a VPN na janela de exposição: sessões anormais, criação de contas locais, execução inesperada de PowerShell.
• Isolar qualquer host que tenha se comunicado com o portal VPN apresentando comportamento lateral suspeito (SMB, WinRM, RDP interno).

Análise

Reproduz-se o cenário que se tornou clássico: o dispositivo de borda VPN transformado em rodovia de intrusão — como já visto em Ivanti, Fortinet, Citrix nos últimos anos. O Qilin se insere em uma tendência de fundo: os gangs de RaaS compram (ou desenvolvem) rapidamente exploits para equipamentos de borda, justamente porque a janela entre a publicação do advisory e a aplicação do patch nas empresas continua sendo muito grande. Tratar um firewall PAN-OS como um servidor aplicativo comum — com patch em 72h e monitoramento — não é mais opcional.