Qilin Ransomware nutzt Schwachstelle in Palo Alto aus

Was ist passiert

Die Cybersicherheitswelt ist nach einer neuen Angriffswelle der Ransomware-Gruppe Qilin (auch bekannt als Agenda) in höchster Alarmbereitschaft. Es wurde entdeckt, dass Bedrohungsakteure eine inzwischen gepatchte, hochgradig kritische Schwachstelle in der PAN-OS-Software des Netzwerksicherheitsriesen Palo Alto Networks als initialen Einstiegspunkt in die Netzwerke ihrer Opfer nutzen. Analysen von Cybersicherheitsforschern bei Arctic Wolf Labs ergaben, dass diese Methode hinter zahlreichen Cyberangriffen im Juni 2026 steckte. Die Angreifer nutzen diese Schwachstelle, um in Unternehmensnetzwerke einzudringen und anschließend Ransomware zu verteilen, um entweder Daten zu verschlüsseln oder eine doppelte Erpressungstaktik anzuwenden, bei der Daten sowohl gestohlen als auch verschlüsselt werden.

Die zentrale Schwachstelle bei diesen Angriffen ist als CVE-2026-0257 identifiziert und wurde mit einem hohen CVSS-Score (Common Vulnerability Scoring System) von 7,8 bewertet. Bei diesem Fehler handelt es sich im Wesentlichen um eine Schwachstelle zur Umgehung der Authentifizierung, die die Portal- und Gateway-Komponenten der PAN-OS-Software betrifft. Durch die Ausnutzung dieser Schwachstelle können Angreifer VPN-Sitzungen ohne Anmeldeinformationen initiieren und so unbefugten Zugriff auf das Netzwerk erlangen. Dies zielt insbesondere auf Systeme ab, bei denen Authentifizierungs-Override-Cookies mit spezifischen Zertifikatskonfigurationen aktiviert sind. Sobald sie sich im Netzwerk befinden, wenden die Angreifer verschiedene Methoden an, um ihre Angriffe zu eskalieren. Die Vielfalt dieser Angriffe legt nahe, dass Qilin nach einem Ransomware-as-a-Service (RaaS)-Modell operiert, an dem mehrere verbundene Gruppen mit unterschiedlichen Fähigkeiten beteiligt sind. Solche Modelle ermöglichen es Ransomware-Entwicklern, ihre Tools an andere Cyberkriminelle zu vermieten, was den Umfang und die Vielfalt der Angriffe erhöht. Diese Entwicklungen sind ein wichtiges Thema in den neuesten Datenleck-Nachrichten.

Welche Daten wurden kompromittiert

In den von Arctic Wolf untersuchten Fällen wurde beobachtet, dass Partner der Qilin-Gruppe das Modell der doppelten Erpressung anwenden. Bei diesem Modell verschlüsseln die Angreifer nicht nur die Daten auf den Systemen des Opfers, sondern exfiltrieren vor der Verschlüsselung auch große Mengen sensibler Daten auf ihre eigenen kontrollierten Server. Laut dem Quellenbericht wurden für die Datenexfiltration Tools wie Rclone, Proton Drive und FileZilla verwendet. Die Daten wurden Berichten zufolge an den beliebten Cloud-Speicherdienst MEGA übertragen. Diese Methode erzeugt zusätzlichen Druck auf das Opfer. Wenn das Lösegeld nicht gezahlt wird, drohen die Angreifer nicht nur damit, die Systeme gesperrt zu halten, sondern auch die gestohlenen Daten zu veröffentlichen oder an andere Kriminelle im Dark Web zu verkaufen.

Obwohl der Quellartikel keine spezifischen Details über die Art der gestohlenen Daten liefert, zielen solche Angriffe typischerweise auf kritische Unternehmensinformationen ab, darunter Kundendaten, Finanzunterlagen, persönliche Mitarbeiterdaten, Geschäftsgeheimnisse und geistiges Eigentum. In Fällen, in denen eine Datenexfiltration stattfindet, sehen sich Unternehmen nicht nur mit Betriebsausfällen und Lösegeldkosten konfrontiert, sondern auch mit langfristigen Konsequenzen wie rechtlichen Strafen, Reputationsschäden und dem Verlust des Kundenvertrauens. Es wird auch darauf hingewiesen, dass die Angreifer in einigen Fällen die Datenexfiltrationsphase übersprangen und sich darauf konzentrierten, das gesamte Unternehmensnetzwerk schnell zu verschlüsseln. Diese Variation kann von der Strategie der angreifenden Partnergruppe oder der Architektur des Netzwerks des Opfers abhängen.

Wie ist der Angriff abgelaufen

Das Vorgehen der Angreifer umfasst sowohl konsistente Schritte als auch variable Taktiken. Jede Phase der Angriffskette besteht aus sorgfältig geplanten Aktionen.

1. Initialer Zugriff: Ausnutzung von CVE-2026-0257

Alles beginnt mit der Ausnutzung der Authentifizierungsumgehungs-Schwachstelle CVE-2026-0257 in der PAN-OS-Software von Palo Alto Networks. Angreifer nutzen diese Schwachstelle, um die Firewall des Zielnetzwerks zu umgehen und eine SSL-VPN-Sitzung ohne gültigen Benutzernamen oder Passwort zu initiieren. Dies verschafft ihnen einen sicheren Stand im Inneren des Netzwerks und ermöglicht es ihnen, wie ein interner Benutzer zu agieren. Dieser erste Schritt ist die kritischste Phase des Angriffs, da er eine Brücke von der Außenwelt in das interne Netzwerk schlägt.

2. Privilegienerweiterung und Aufklärung

Sobald sie im Netzwerk sind, ist das nächste Ziel der Angreifer, ihre Privilegien zu erweitern. Typischerweise beginnen sie mit einem niedrig privilegierten Zugriff und bewegen sich durch das Netzwerk, um Anmeldeinformationen für Administratorkonten zu erlangen. Diese Anmeldeinformationen sind der Schlüssel zum Zugriff auf alle anderen Systeme im Netzwerk. In dieser Phase wurde beobachtet, dass einige Partnergruppen umfangreiche Aufklärungsaktivitäten mit legitimen Fernzugriffstools wie AnyDesk, Ngrok oder LogMeIn durchführten. Diese Tools werden oft von IT-Administratoren verwendet, was ihre Erkennung durch Sicherheitssysteme erschwert.

3. Laterale Bewegung: Verbreitung mit PsExec

Mit den kompromittierten Administrator-Anmeldeinformationen gehen die Angreifer zur Phase der lateralen Bewegung über. Dies beinhaltet das Springen von einem Computer zum anderen innerhalb des Netzwerks, um Zugang zu möglichst vielen Systemen für die Verteilung der Ransomware zu erhalten. Es wurde festgestellt, dass die Qilin-Angreifer für diese Phase konsistent das Tool PsExec verwenden. PsExec ist ein legitimes Tool, das Teil der Sysinternals-Suite von Microsoft ist und es Administratoren ermöglicht, Befehle auf entfernten Systemen auszuführen. Die Angreifer nutzen dieses Tool über administrative Windows-Freigaben, um andere Computer im Netzwerk zu infiltrieren und ihre Befehle auszuführen.

4. Verteidigungsumgehung und Vorbereitung

Vor der Ausführung der Ransomware ergreifen die Angreifer mehrere Schritte, um das Entdeckungsrisiko zu minimieren. Der erste Schritt ist die Deaktivierung von Antiviren- und Sicherheitssoftware, wie dem Echtzeitschutz von Microsoft Defender. Der zweite und vielleicht wichtigste Schritt ist die umfassende Löschung von Ereignisprotokollen, um keine forensischen Spuren zu hinterlassen. Dies erschwert die Untersuchung nach dem Vorfall für die Sicherheitsteams erheblich.

5. Verteilung und Verschlüsselung der Ransomware

Nach Abschluss aller Vorbereitungen wird die Ransomware verteilt. Es wurde beobachtet, dass die Angreifer die Ransomware-Payload im Verzeichnis C:\PerfLogs\ ablegten. Dieses Verzeichnis ist ein legitimer Windows-Ordner für Leistungsprotokolle und kann daher oft übersehen werden. Ein weiteres bemerkenswertes Detail ist, dass die verteilten Ransomware-Payloads passwortgeschützt waren. Dies ist eine Technik, die es Sicherheitsprodukten erschwert, die Malware durch statische Analyse zu erkennen. In der letzten Phase wird die Ransomware ausgeführt und alle zugänglichen Dateisysteme werden verschlüsselt.

Wer ist betroffen

Der von Arctic Wolf Labs veröffentlichte Bericht besagt, dass sie im Juni 2026 auf Vorfälle bei mehreren von dieser Angriffsmethode betroffenen Organisationen reagiert haben. Es wurden jedoch keine Details über die Identität der Opfer, ihre Branchen oder geografischen Standorte veröffentlicht. Die Tatsache, dass die Schwachstelle die weit verbreitete PAN-OS-Software von Palo Alto Networks betrifft, bedeutet, dass Tausende von Unternehmen weltweit, die diese Produkte verwenden, potenziell gefährdet sind. Es wird angenommen, dass die Angreifer opportunistisch vorgehen und das Internet nach exponierten und anfälligen Systemen durchsuchen, anstatt einen bestimmten Sektor anzugreifen. Daher sind alle Organisationen des öffentlichen und privaten Sektors, die die betroffenen Versionen von PAN-OS verwenden, potenzielle Ziele.

Was Sie tun können

Proaktive Maßnahmen zum Schutz Ihrer Organisation vor der Qilin-Ransomware und ähnlichen Bedrohungen sind von entscheidender Bedeutung. Hier sind die Schritte, die Sie unternehmen sollten:

• Sofort patchen: Wenn Sie Palo Alto Networks PAN-OS verwenden, stellen Sie sicher, dass Sie die Updates, die die Schwachstelle CVE-2026-0257 beheben, unverzüglich anwenden. Die Aktualisierung Ihrer Software und Geräte ist der effektivste Weg, um Angriffe zu verhindern, die bekannte Schwachstellen ausnutzen.
• Konfigurationen überprüfen: Wie im Bericht erwähnt, erfordert die Ausnutzung der Schwachstelle, dass bestimmte Konfigurationen (Authentifizierungs-Override-Cookies) aktiviert sind. Prüfen Sie, ob Sie solche Konfigurationen wirklich benötigen, und deaktivieren Sie alle unnötigen Funktionen.
• Auf Kompromittierungsindikatoren (IOCs) überwachen: Ihre Sicherheitsteams sollten Ihr Netzwerk auf die im Bericht genannten Kompromittierungsindikatoren durchsuchen. Dazu gehören das Vorhandensein verdächtiger Dateien im Verzeichnis C:\PerfLogs\, die unerwartete Verwendung von PsExec, das Löschen von Ereignisprotokollen und das ungewöhnliche Windows-Registrierungs-Persistenzmuster, das als "ein Sternchen gefolgt von sechs zufälligen Kleinbuchstaben" beschrieben wird.
• Netzwerksegmentierung implementieren: Beschränken Sie die Fähigkeit eines Angreifers zur lateralen Bewegung, indem Sie Ihr Netzwerk in kleinere Zonen segmentieren. Dies erschwert die Ausbreitung eines Angriffs auf das gesamte Netzwerk, selbst wenn ein System kompromittiert wird.
• Starke Authentifizierung verwenden: Erzwingen Sie die Verwendung der Multi-Faktor-Authentifizierung (MFA), insbesondere für VPN- und Fernzugriffslösungen. Dies hilft, unbefugten Zugriff zu verhindern, selbst wenn Anmeldeinformationen gestohlen werden.

Was das Unternehmen sagt

Das Cybersicherheitsunternehmen Arctic Wolf Labs, das die Angriffsanalyse durchführte, gab seine Ergebnisse in einem öffentlichen Bericht bekannt. Das Unternehmen erklärte, dass die Betreiber der Qilin-Ransomware die PAN-OS-Schwachstelle aktiv ausnutzen und dass die beobachtete Vielfalt der Taktiken nach der Ausnutzung auf eine RaaS-Operation (Ransomware-as-a-Service) mit mehreren Partnern hindeutet. "Die Angreifer zeigten trotz unterschiedlicher Vorgehensweisen konsistente operative Muster: Ablage der Ransomware in C:\PerfLogs\, Verwendung von PsExec für die laterale Ausführung über administrative Freigaben, Verteilung passwortgeschützter Ransomware-Payloads und Implementierung umfassender Protokollbereinigungsroutinen", erklärte Arctic Wolf.

Palo Alto Networks, der Eigentümer des betroffenen Produkts, hatte zuvor Sicherheitsupdates veröffentlicht, um die Schwachstelle CVE-2026-0257 zu beheben. Das Unternehmen fordert alle seine Kunden kontinuierlich auf, sich gegen diese und andere potenzielle Bedrohungen zu schützen, indem sie ihre Systeme auf die neueste Version aktualisieren.

Quelle

https://thehackernews.com/2026/07/qilin-ransomware-attackers-exploit-pan.html