Lỗ hổng PAN-OS của Palo Alto bị nhiều nhóm ransomware khai thác từ tháng 6

Lỗ hổng nghiêm trọng trong hệ điều hành firewall PAN-OS của Palo Alto Networks đang trở thành cửa ngõ quen thuộc của giới tội phạm mạng. Theo đơn vị tư vấn và ứng cứu sự cố Unit 42 thuộc chính Palo Alto, ít nhất hai nhóm ransomware là Qilin và Inc đã liên tục khai thác lỗ hổng này từ đầu tháng 6 để xâm nhập vào hệ thống của nhiều tổ chức.

Lỗ hổng mang mã CVE-2026-0257 ảnh hưởng đến cổng và gateway GlobalProtect trên PAN-OS. Kẻ tấn công có thể lợi dụng nó để vượt qua các rào chắn bảo mật và thiết lập một kết nối VPN trái phép vào mạng nội bộ.

Từ đánh giá "trung bình" đến mối đe dọa thực tế

Palo Alto Networks công bố và vá lỗ hổng lần đầu vào ngày 13/5, khi đó xếp hạng mức độ nghiêm trọng ở mức trung bình. Hãng cho biết đã ghi nhận các nỗ lực khai thác nhưng chưa thấy bằng chứng tấn công thực tế.

Tuy nhiên, đánh giá này nhanh chóng thay đổi. Đến cuối tháng 5, các nhà nghiên cứu của Rapid7 xác nhận đã chứng kiến việc khai thác thành công trong môi trường của nhiều khách hàng, với dấu vết có từ ít nhất ngày 17/5.

Kịch bản tấn công chi tiết

Theo ông Andy Piazza, giám đốc cấp cao phụ trách tình báo mối đe dọa tại Unit 42, sau khi có được chỗ đứng ban đầu, kẻ tấn công vượt qua lớp xác thực đa yếu tố (MFA) để dựng phiên VPN.

Từ đó, chúng di chuyển ngang trong mạng bằng Remote Desktop Protocol và SMB, thả thêm mã độc thu thập thông tin đăng nhập và đánh cắp dữ liệu, rồi cuối cùng triển khai ransomware.

"Kẻ tấn công đang lợi dụng lỗ hổng này để có chỗ đứng ban đầu trong mạng doanh nghiệp, sau đó vượt qua các kiểm soát MFA để thiết lập phiên VPN", ông Piazza cho biết.

Các cuộc điều tra của Unit 42 cho thấy nạn nhân trải rộng khắp nhiều lĩnh vực: giáo dục, dịch vụ tài chính, y tế, công nghệ cao, khách sạn, sản xuất, dịch vụ chuyên môn và pháp lý, chính phủ, vận tải – logistics, tiện ích – năng lượng, bán buôn và bán lẻ.

Palo Alto Networks chưa phản hồi các câu hỏi của báo giới về số lượng tổ chức bị ảnh hưởng. Trong khi đó, các nhà phân tích của ReliaQuest cảnh báo thêm rằng nhiều nhóm mối đe dọa khác, trong đó có nhóm vận hành ransomware Settra, cũng đang khai thác lỗ hổng này để xâm nhập mạng qua phiên VPN trái phép.

Bước tiến nguy hiểm: tấn công thẳng vào lớp ảo hóa

Điểm đáng chú ý nhất trong kỹ thuật tấn công mới là việc chuyển hướng trực tiếp sang lớp ảo hóa. Ông Piazza mô tả một vụ việc điển hình: kẻ tấn công đi từ gateway VPN bị xâm nhập sang thiết bị quản lý vCenter, sau đó vô hiệu hóa kiểm soát bảo mật trên các hypervisor ESXi (cấu hình execInstalledOnly) và dùng công cụ tùy chỉnh để trích xuất thông tin đăng nhập trực tiếp từ đĩa ảo VMDK của một domain controller.

Cách làm này giúp chúng né được các sản phẩm phát hiện và phản ứng điểm cuối (EDR) chạy bên trong máy ảo, đồng thời được đánh giá là phương thức "tinh vi bậc cao" để đánh cắp thông tin đăng nhập trên phạm vi toàn miền.

Unit 42 cũng ghi nhận kẻ tấn công kết hợp lỗ hổng này với các lỗ hổng khác, chẳng hạn CVE-2023-27532 nhắm vào hạ tầng sao lưu Veeam, để có chỗ đứng ban đầu.

Khuyến nghị cho doanh nghiệp và người dùng Việt Nam

Với các tổ chức tại Việt Nam đang vận hành firewall Palo Alto, đặc biệt là những đơn vị dùng GlobalProtect cho nhân viên làm việc từ xa trong các lĩnh vực tài chính, ngân hàng, y tế hay sản xuất, đây là cảnh báo cần xử lý ngay:

• Cập nhật bản vá cho PAN-OS nếu chưa thực hiện, và ưu tiên rà soát các phiên bản cũ còn sót trong hệ thống.
• Kiểm tra nhật ký truy cập VPN xem có phiên đăng nhập bất thường nào từ địa chỉ lạ hay ngoài giờ làm việc không.
• Tìm dấu hiệu xâm nhập dựa trên các chỉ dấu xâm phạm (IoC) do Unit 42 công bố.
• Rà soát quyền truy cập vào vCenter và ESXi, tránh để tài khoản quản trị dùng chung hoặc thiếu xác thực đa yếu tố.
• Sao lưu ngoại tuyến dữ liệu quan trọng, vì ransomware vẫn là hệ quả cuối cùng của chuỗi tấn công này.

Việc một lỗ hổng từng bị đánh giá chỉ ở mức trung bình nay trở thành vũ khí ưa thích của nhiều nhóm ransomware là lời nhắc rằng trong bảo mật, không nên chờ đến khi có bằng chứng tấn công thực tế mới tiến hành vá lỗi.