Falha crítica em VPN da Palo Alto é explorada em ataques de ransomware Qilin
Operadores do ransomware Qilin passaram a explorar ativamente uma vulnerabilidade grave no PAN-OS, sistema operacional dos firewalls da Palo Alto Networks, para invadir redes corporativas e criptografar dados críticos. Os incidentes, identificados em junho de 2026, tiveram início no serviço de VPN GlobalProtect, amplamente utilizado para acesso remoto seguro, o que amplia o impacto potencial desse tipo de ataque.
CVE-2026-0257: contorno de autenticação na VPN
A falha, catalogada como CVE-2026-0257, permite que invasores contornem o mecanismo de autenticação da VPN e estabeleçam sessões sem fornecer credenciais válidas. Em outras palavras, o atacante consegue se conectar como se fosse um usuário legítimo, sem precisar de login e senha.
A exploração depende da manipulação de cookies de substituição de autenticação (authentication override cookies), em combinação com configurações específicas de certificado no dispositivo vulnerável. Em ambientes onde essa funcionalidade é utilizada de forma inadequada ou sem endurecimento de segurança, a superfície de ataque aumenta significativamente.
Acesso inicial e comprometimento do ambiente
Depois de obter o acesso inicial via GlobalProtect, os criminosos cibernéticos passaram a se movimentar dentro da rede corporativa, focando na coleta de credenciais sensíveis do Windows e do Active Directory. Entre as técnicas observadas, destaca-se a extração de dados de processos como LSASS (Local Security Authority Subsystem Service) e da base NTDS, que contém informações de contas de domínio.
Com credenciais administrativas em mãos, os operadores do Qilin ampliaram o controle sobre o ambiente, alcançando servidores críticos, estações de trabalho e, em muitos casos, também sistemas de backup. Essa etapa é fundamental para garantir que, ao aplicar o ransomware, a organização tenha mais dificuldade de restaurar seus dados.
Movimentação lateral e persistência
A movimentação lateral dentro da rede ocorreu, principalmente, por meio da ferramenta PsExec e de compartilhamentos administrativos do Windows (como C$ e ADMIN$). Esses recursos são frequentemente usados por administradores para gestão remota, mas, nas mãos de invasores, tornam-se um meio eficaz de espalhar o ataque.
Além disso, em alguns incidentes foram identificadas outras ferramentas auxiliares, utilizadas para manter ou expandir o acesso:
– AnyDesk e LogMeIn, para acesso remoto persistente
– Ngrok, para criar túneis e burlar restrições de rede
– NetExec e scanners de rede, para identificar novos alvos e serviços expostos
Esses utilitários, em muitos casos legítimos, são abusados pelos atacantes para dificultar a detecção e aproveitar ferramentas já toleradas no ambiente corporativo.
Desativação de defesa e preparação para a criptografia
Antes de acionar o ransomware, os operadores do Qilin focaram em desarmar as defesas da organização. Em diversos casos, foi observada a desativação da proteção em tempo real do Microsoft Defender, etapa que reduz significativamente a chance de bloqueio do executável malicioso.
Os invasores também apagaram registros de eventos do sistema, dificultando a resposta a incidentes e a análise forense posterior. Com menos logs disponíveis, fica mais complicado reconstruir a linha do tempo do ataque, identificar o vetor inicial e entender toda a extensão do comprometimento.
Implantação do ransomware e impacto
O payload de ransomware era geralmente gravado com o nome win.exe, comumente armazenado dentro do diretório C:PerfLogs, pasta que existe por padrão no Windows para logs de desempenho. O uso desse caminho ajuda a camuflar a presença do arquivo entre diretórios legítimos do sistema.
Parte das vítimas relatou impacto “limitado” à criptografia dos equipamentos, sem menções a extorsão dupla (roubo de dados seguido de ameaça de vazamento). Porém, o padrão de atuação do Qilin e de outros grupos de ransomware sugere que a exfiltração de dados pode ocorrer em muitos casos, mesmo quando não é imediatamente visível.
Versões afetadas e escopo da vulnerabilidade
A vulnerabilidade atinge versões específicas do PAN-OS, incluindo:
– PAN-OS 10.2
– PAN-OS 11.1
– PAN-OS 11.2
– PAN-OS 12.1
Além disso, edições do Prisma Access também foram apontadas como impactadas. Em contrapartida, produtos como Panorama e Cloud NGFW não sofrem com essa falha em particular, de acordo com a fabricante.
A empresa confirmou que há tentativas reais de exploração contra dispositivos que ainda não receberam as devidas correções, embora as campanhas observadas até o momento sejam descritas como “limitadas” em escala. Mesmo assim, a combinação de falha de autenticação com ransomware torna o risco extremamente elevado.
—
O que empresas precisam fazer agora
Diante da exploração ativa dessa falha por operadores de ransomware, organizações que utilizam firewalls Palo Alto com GlobalProtect precisam agir rapidamente em várias frentes.
1. Aplicar correções e atualizar o PAN-OS
A prioridade é garantir que todos os dispositivos estejam atualizados para versões corrigidas do PAN-OS e do Prisma Access. Sistemas de segurança na borda da rede não podem permanecer desatualizados, pois são a “porta de entrada” mais visível para atacantes externos.
Além da atualização, é importante revisar notas de versão e documentação técnica para verificar se há medidas de endurecimento recomendadas, como ajustes de política, certificados e parâmetros de autenticação.
2. Revisar configurações do GlobalProtect
A simples existência da VPN não é o único problema; o modo como ela é configurada é determinante para a segurança. É essencial:
– Reavaliar o uso de cookies de substituição de autenticação e reduzir sua aplicação ao mínimo necessário
– Minimizar o tempo de vida de tokens e cookies de sessão
– Forçar autenticação multifator (MFA) para todos os usuários remotos, inclusive administradores
– Garantir que certificados utilizados na autenticação estejam adequadamente protegidos e gerenciados
Uma revisão completa da superfície de exposição da VPN deve incluir também checagem de perfis de usuários, grupos com privilégios elevados e regras de acesso.
3. Monitorar sinais de comprometimento
Mesmo após corrigir a falha, é fundamental investigar se a infraestrutura já foi explorada. Alguns indícios que merecem atenção:
– Acessos anômalos ou em horários incomuns via GlobalProtect
– Execução de ferramentas como PsExec, AnyDesk, LogMeIn, Ngrok ou scanners de rede a partir de máquinas internas
– Eventos suspeitos relacionados a LSASS, extração de credenciais e acessos à NTDS
– Criação de arquivos win.exe ou outros executáveis desconhecidos em C:PerfLogs ou diretórios semelhantes
– Desativação ou falhas repetidas do Microsoft Defender e de outros antivírus/EDR
Ferramentas de SIEM, EDR e soluções de monitoramento de logs podem ser decisivas para detectar padrões de ataque associados ao Qilin e a outros grupos de ransomware.
4. Fortalecer controles de privilégio
Como o ataque se apoia fortemente em credenciais de alto privilégio, a adoção de práticas de gerenciamento de identidades e acessos é indispensável:
– Implementar o princípio do menor privilégio em contas de usuário e de serviço
– Reduzir o número de administradores de domínio e de servidores críticos
– Utilizar cofres de senhas e rotação periódica de credenciais privilegiadas
– Separar contas de uso diário de contas administrativas
Quanto mais difícil for escalar privilégios dentro do ambiente, menor será o impacto potencial mesmo em caso de comprometimento inicial.
5. Proteger e segmentar backups
Como os operadores de ransomware tendem a mirar também sistemas de backup, é necessário:
– Manter cópias de backup offline ou em ambientes imutáveis
– Segmentar o acesso aos servidores de backup, isolando-os de redes comuns de produção
– Validar periodicamente a capacidade real de restauração (testes de recuperação)
Backups íntegros e isolados muitas vezes são o fator que define se uma organização será capaz de se recuperar sem ceder à extorsão.
—
Papel da Threat Intelligence e da IA na defesa
Com a rápida evolução de grupos como o Qilin, empresas vêm buscando cada vez mais serviços de Threat Intelligence integrados a soluções de IA, para antecipar campanhas maliciosas e automatizar a detecção de padrões de ataque.
Modelos de inteligência capazes de correlacionar indicadores (endereços IP maliciosos, hashes de arquivos, domínios suspeitos, assinaturas comportamentais) ajudam a identificar, em tempo quase real, se alguma atividade interna se parece com as técnicas usadas por operadores de ransomware que exploram vulnerabilidades em VPNs e firewalls.
Ao mesmo tempo, cresce o debate sobre a necessidade de proteger também sistemas desenvolvidos com IA, que podem se tornar novos alvos. Aplicações que integram modelos de linguagem, automações e fluxos decisórios baseados em IA, quando mal configuradas, podem abrir caminhos adicionais para exploração, seja por meio de APIs expostas, seja por falhas de autenticação e autorização.
—
Pentests “AI Native” e validação contínua de segurança
Diante desse cenário, surgem abordagens de testes de intrusão (pentest) voltadas especificamente para ambientes que combinam infraestrutura tradicional com componentes de IA. Uma abordagem “AI Native” considera, por exemplo:
– Testes em fluxos de autenticação que envolvem decisões automatizadas
– Avaliação de como modelos de IA podem ser usados para automatizar etapas de ataque (reconhecimento, exploração, movimentação lateral)
– Uso de IA defensiva para simular ataques mais complexos e realistas, combinando várias técnicas em cadeia
Esses pentests ampliados ajudam a identificar não apenas falhas clássicas (como a CVE-2026-0257 em VPNs), mas também vulnerabilidades em integrações modernas, APIs, pipelines de dados e automações de segurança.
—
Lições principais para equipes de segurança
Os incidentes envolvendo a falha de autenticação no PAN-OS e os ataques de ransomware Qilin reforçam alguns pontos-chave:
1. Dispositivos de borda (firewalls, VPNs, gateways) precisam estar no topo da lista de prioridades de atualização.
2. Falhas em mecanismos de autenticação remota podem comprometer todo o ambiente, mesmo quando outras camadas parecem robustas.
3. Ransomware hoje é um “ataque de fim de linha”: antes da criptografia, há um longo processo de reconhecimento, roubo de credenciais, escalonamento de privilégios e apagamento de rastros.
4. A combinação de Threat Intelligence, monitoramento contínuo, gestão de identidades e backups resilientes é essencial para reduzir o impacto.
5. Avaliar a segurança de sistemas baseados em IA e realizar pentests que considerem esse contexto é cada vez mais estratégico.
Ao tratar vulnerabilidades como a CVE-2026-0257 com urgência, fortalecer processos de autenticação e adotar uma postura de segurança proativa, as organizações aumentam significativamente sua capacidade de resistir a campanhas de ransomware avançadas e de proteger seus ativos mais críticos.