Por Canuto  

Grupos como Qilin e Inc explotan desde junio una vulnerabilidad de PAN-OS para entrar a redes empresariales mediante conexiones VPN no autorizadas. Unit 42 también documentó intrusiones que avanzaron hasta la infraestructura de virtualización y el robo de credenciales.
***

  • CVE-2026-0257 afecta los portales y gateways GlobalProtect de PAN-OS y puede facilitar el acceso VPN sin autorización.
  • Unit 42 vincula la explotación con grupos de ransomware y detectó ataques en sectores como finanzas, salud, manufactura y gobierno.
  • En algunos casos, los intrusos llegaron a vCenter y ESXi para extraer credenciales desde discos virtuales.

 

Grupos de ransomware, entre ellos Qilin e Inc, aprovechan una vulnerabilidad de alta gravedad en PAN-OS, el sistema operativo de los firewalls de Palo Alto Networks, para abrirse paso en redes corporativas. Unit 42, la división de inteligencia de amenazas y respuesta a incidentes de la compañía, investiga intrusiones vinculadas con esta falla desde principios de junio y advierte que los ataques alcanzan organizaciones de numerosos sectores.

El problema, identificado como CVE-2026-0257, afecta los portales y gateways GlobalProtect, que permiten a trabajadores y organizaciones conectarse a redes privadas mediante VPN. La falla puede facilitar que un atacante eluda restricciones de seguridad y establezca una conexión no autorizada, un acceso inicial que luego puede servir para robar credenciales, extraer datos y desplegar ransomware, detalla The Register.

Una falla corregida que siguió bajo explotación

Palo Alto Networks reveló la vulnerabilidad y publicó una corrección el 13 de mayo, pero inicialmente la clasificó con gravedad media. En ese momento, la empresa dijo que conocía intentos de explotación, aunque no había observado actividad maliciosa confirmada; esa evaluación inicial contrastó pronto con señales de intrusiones exitosas reportadas por investigadores externos.

A finales de mayo, investigadores de Rapid7 señalaron que habían observado una explotación exitosa en varios entornos de clientes. De acuerdo con sus hallazgos, la actividad se remontaba al menos al 17 de mayo, antes de que Unit 42 situara a principios de junio el inicio de los ataques que sigue investigando en múltiples industrias.

La diferencia entre intentos observados y compromisos confirmados subraya por qué una vulnerabilidad puede representar un riesgo incluso después de que el proveedor publique un parche. La existencia de una actualización no demuestra por sí sola que todas las instalaciones afectadas la hayan aplicado, y una ventana de exposición previa puede dejar sistemas vulnerables o dar a los intrusos tiempo para establecer persistencia.

La vulnerabilidad apunta a los componentes GlobalProtect, que funcionan como puerta de entrada remota a las redes de las organizaciones. Según la descripción del caso, los atacantes usan esa vía para establecer sesiones VPN no autorizadas y evadir controles de autenticación multifactor, una capa que normalmente exige una segunda verificación además de la contraseña.

Ransomware y alcance entre sectores

Andy Piazza, director sénior de inteligencia de amenazas de Unit 42, explicó que los atacantes emplean la falla para obtener un punto de apoyo inicial en redes empresariales y después sortear controles de autenticación multifactor para abrir una sesión VPN. Ese acceso inicial no equivale necesariamente al despliegue inmediato del ransomware: los intrusos pueden explorar la red y ampliar su alcance antes de ejecutar la fase de extorsión.

Tras entrar, los delincuentes se desplazan lateralmente mediante herramientas y protocolos habituales en entornos corporativos, entre ellos Remote Desktop Protocol y Server Message Block. Unit 42 observó que los atacantes también instalan malware destinado al robo de credenciales y datos, actividades que pueden preparar el terreno para desplegar ransomware más adelante.

Las investigaciones abarcan organizaciones de educación, servicios financieros, salud, alta tecnología, hostelería, manufactura y servicios profesionales y legales. También incluyen entidades gubernamentales, compañías de transporte y logística, servicios públicos y energía, además de empresas mayoristas y minoristas, una variedad que muestra que la actividad no se limita a un solo tipo de infraestructura.

Qilin e Inc figuran entre los grupos que, según Unit 42, continúan atacando mediante CVE-2026-0257. Por separado, analistas de inteligencia de ReliaQuest advirtieron que múltiples grupos de amenazas, incluidos operadores del ransomware Settra, también explotan la vulnerabilidad para obtener acceso inicial a redes corporativas mediante sesiones VPN no autorizadas.

Del acceso VPN a la infraestructura virtualizada

Unit 42 describió un caso en el que los atacantes avanzaron desde un gateway VPN comprometido hasta el appliance de gestión vCenter. Desde allí, desactivaron en hipervisores ESXi el control de seguridad execInstalledOnly, que restringe la ejecución de determinados programas, y luego usaron una herramienta personalizada para acceder a credenciales almacenadas en un disco virtual.

La operación consistió en realizar un volcado de credenciales sin conexión directamente contra el archivo VMDK de un controlador de dominio. Piazza caracterizó esta secuencia como una táctica sofisticada porque permite buscar credenciales de todo el dominio desde la capa de virtualización, en lugar de depender únicamente de herramientas ejecutadas dentro del sistema operativo de cada equipo afectado.

Ese desplazamiento puede complicar la detección mediante productos de seguridad de endpoints instalados dentro de las máquinas virtuales. Si el atacante opera desde la infraestructura que administra los hipervisores y examina los discos virtuales fuera del sistema invitado, puede reducir la visibilidad de las defensas que suelen monitorear la actividad dentro de cada equipo.

Unit 42 también detectó que algunos delincuentes encadenan la explotación de PAN-OS con otras fallas, entre ellas CVE-2023-27532, que afecta a la infraestructura de copias de seguridad de Veeam. La combinación de vulnerabilidades puede ampliar las opciones de acceso y movimiento dentro de una red, aunque la información publicada no detalla cuántas organizaciones sufrieron esos ataques ni cuántas fueron afectadas en total.

Parchear y revisar posibles intrusiones

Palo Alto Networks no respondió a las preguntas de The Register sobre los ataques, incluido el número de organizaciones comprometidas. Por ello, la información disponible no permite establecer la escala total de las intrusiones ni precisar cuántas víctimas recibieron ransomware; los hallazgos citados corresponden a investigaciones en curso de Unit 42 y a las alertas de ReliaQuest.

Para las organizaciones que usan PAN-OS, la recomendación de Unit 42 es aplicar cuanto antes la corrección correspondiente y comprobar si los atacantes ya accedieron a la red. La revisión no debería limitarse a confirmar que el software está actualizado: también conviene investigar conexiones VPN anómalas y buscar señales de movimiento lateral, robo de credenciales y actividad en la infraestructura de virtualización.

Unit 42 publicó indicadores de compromiso para apoyar las tareas de búsqueda de amenazas, que pueden ayudar a los equipos de seguridad a detectar rastros asociados con estas campañas. Consultar esos indicadores junto con la revisión de los accesos y sistemas afectados permite orientar la investigación, aunque la información disponible no garantiza por sí sola que una red esté libre de intrusos.

El caso muestra cómo una vulnerabilidad en una puerta de acceso remoto puede convertirse en el primer eslabón de una intrusión más amplia, desde la sesión VPN hasta los sistemas que administran servidores virtuales y credenciales corporativas. La aplicación del parche y la búsqueda de actividad previa son medidas distintas, pero ambas resultan necesarias para reducir el riesgo de que un acceso no autorizado termine en robo de información o despliegue de ransomware.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados