Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA

Exploitation active de la faille PAN-OS par les groupes de ransomware

Des groupes cybercriminels, notamment Qilin (Spikey Scorpius) et INC (Tarnished Scorpius), exploitent activement une vulnérabilité critique dans les solutions PAN-OS et Prisma Access de Palo Alto Networks pour compromettre des réseaux d’entreprise.

Points clés :

• Vecteur d’attaque : Les attaquants utilisent la faille pour contourner l’authentification multifacteur (MFA) et établir des sessions VPN non autorisées.
• Tacticques (TTP) : Après l’intrusion, les attaquants effectuent une reconnaissance interne, utilisent des outils RMM, se déplacent latéralement via RDP/SMB et déploient des ransomwares.
• Escalade critique : Les assaillants ciblent désormais directement la couche de virtualisation (vCenter/ESXi) pour désactiver les protections EDR et extraire des identifiants au niveau du domaine, contournant ainsi les mesures de sécurité classiques.
• Cibles : Une vaste gamme de secteurs est touchée, incluant la finance, la santé, l’éducation, le gouvernement et l’industrie.

Vulnérabilité :

• CVE-2026-0257 : Faille de contournement d’authentification (Score CVSS : 7.8). Répertoriée dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA.

Recommandations :

• Mise à jour : Appliquer immédiatement les correctifs fournis par Palo Alto Networks.
• Chasse aux menaces : Rechercher proactivement des indicateurs de compromission (IoC) sur les passerelles VPN.
• Réponse aux incidents : Initier les protocoles de réponse si des événements de connexion suspects sont identifiés sur les passerelles.
• Sécurisation complémentaire : Surveiller étroitement l’infrastructure de sauvegarde (ex: Veeam) pour éviter le chaînage d’exploits (ex: CVE-2023-27532).

Source