Er is waargenomen dat bedreigingsactoren misbruik maken van een nu gepatchte, zeer ernstige PAN-OS-kwetsbaarheid van Palo Alto Networks als toegangspunt om de Qilin-ransomware (ook bekend als Agenda) in slachtofferomgevingen te implementeren.
Arctic Wolf Labs zei dat het in juni 2026 meerdere inbraken heeft onderzocht die begonnen met de exploitatie van CVE-2026-0257 (CVSS-score: 7,8), een fout bij het omzeilen van de authenticatie die de portal- en gatewaycomponenten van PAN-OS-software aantast.
Door succesvol misbruik van de fout kunnen niet-geverifieerde externe aanvallers de authenticatie omzeilen en VPN-sessies opzetten zonder geldige inloggegevens wanneer authenticatie-override-cookies zijn ingeschakeld met specifieke certificaatconfiguraties.
“De post-exploitatie-handel varieerde per inbraak, van snelle encryptie-only operaties tot volledige dubbele afpersing, wat mogelijk erop wijst dat meerdere aangesloten bedrijven opereren onder de Qilin ransomware-as-a-service (RaaS) paraplu”, aldus het cyberbeveiligingsbedrijf.
“Aanvallers lieten consistente operationele patronen zien, ondanks de variatie in vakmanschap: het opzetten van ransomware op C:PerfLogs, het gebruik van PsExec voor laterale uitvoering via administratieve shares, het inzetten van met een wachtwoord beveiligde ransomware-payloads en het implementeren van uitgebreide log-clearing-routines.”
Het is gebleken dat de bedreigingsactoren de fout als wapen hebben gebruikt om geauthenticeerde toegang tot slachtoffernetwerken te verkrijgen door SSL VPN-sessies op te zetten, gevolgd door het escaleren van hun aanvallen om het verzamelen van inloggegevens en zijdelingse verplaatsing via Windows-beheershares via gecompromitteerde beheerdersaccounts te vergemakkelijken.
De activiteit wordt ook gekenmerkt doordat de aanvallers doelbewuste stappen ondernemen om gebeurtenislogboeken te wissen en Microsoft Defender Real-Time Protection uit te schakelen voordat de ransomware-payload wordt uitgevoerd, om de kans op detectie te minimaliseren en te voorkomen dat forensisch bewijsmateriaal achterblijft.
Ondanks overeenkomsten in de staging-paden van ransomware, op PsExec gebaseerde uitvoering en een ongebruikelijk persistentiepatroon in het Windows-register (dwz een asterisk gevolgd door zes willekeurige alfabetische tekens in kleine letters), varieerden de vervolgaanvallen per slachtoffer.
Dit varieerde van bedrijfsbrede encryptie zonder data-exfiltratie en uitgebreide verkenning via tools voor externe toegang zoals AnyDesk, Ngrok of LogMeIn tot grootschalige diefstal van inloggegevens en gevallen van data-exfiltratie naar de MEGA-cloudservice voordat ransomware werd ingezet met behulp van Rclone, Proton Drive en FileZilla.
“Deze variabiliteit komt overeen met RaaS-modellen, waarin meerdere aangesloten bedrijven gebruik kunnen maken van gedeelde initiële toegangsinfrastructuur en ransomware-tools, terwijl ze hun eigen favoriete post-exploitatiemethodologieën toepassen”, aldus Arctic Wolf.
