Hackers Lanzan Ataques Generalizados a Portales Palo Alto GlobalProtect desde más de 7.000 IPs En una campaña que se intensifica dirigida a la infraestructura de acceso remoto, actores de amenazas han iniciado intentos de explotación activos contra los portales VPN GlobalProtect de Palo Alto Networks. GrayNoise rastrea la actividad reportando escaneos y esfuerzos de explotación que se originan desde más de 7.000 direcciones IP únicas en todo el mundo, lo que genera alarma para las organizaciones que dependen de la popular solución VPN para el trabajo remoto seguro. 

En una campaña en escalada que se dirige a la infraestructura de acceso remoto, actores de amenazas han iniciado intentos activos de explotación contra los portales VPN GlobalProtect de Palo Alto Networks.

GrayNoise está rastreando escaneos y esfuerzos de explotación que provienen de más de 7.000 direcciones IP únicas en todo el mundo, lo que genera alertas para las organizaciones que confían en la popular solución VPN para el trabajo remoto seguro.

Los ataques, detectados por primera vez a finales de noviembre de 2025, se centran en vulnerabilidades en las pasarelas GlobalProtect, particularmente aquellas expuestas en Internet a través del puerto UDP 4501.

Según datos de Shadowserver y otros feeds de inteligencia de amenazas, las fuentes de IP abarcan proxies residenciales, proveedores de alojamiento a prueba de balas e instancias de VPS comprometidas en Asia, Europa y América del Norte.

“Esto no es un escaneo oportunista; los actores están investigando configuraciones débiles y encadenándolas con exploits conocidos”, señaló un investigador de una importante empresa de ciberseguridad, quien habló bajo condición de anonimato.

GlobalProtect de Palo Alto Networks ha sido durante mucho tiempo un objetivo principal debido a su ubicuidad en los entornos empresariales. Los fallos históricos, como CVE-2024-3400 (una vulnerabilidad de inyección de comandos crítica parcheada en abril de 2024 con una puntuación CVSS de 9.8), siguen atormentando a los sistemas sin parchear.

Las oleadas recientes explotan las configuraciones incorrectas que permiten el acceso de preautenticación, incluidas las credenciales predeterminadas o los portales de administración expuestos. Los atacantes implementan herramientas como scripts personalizados que imitan los módulos de Metasploit para enumerar portales, forzar contraseñas e insertar malware para la persistencia.

El último informe de amenazas de Mandiant atribuye tácticas similares a grupos afiliados al estado chino como UNC4841, aunque no se ha vinculado a este aumento a un único actor.

Los indicadores de compromiso incluyen picos anómalos de tráfico UDP hacia el puerto 4501, seguidos de solicitudes HTTP a los puntos finales /global-protect/login.urd. En las brechas confirmadas, los intrusos han exfiltrado tokens de sesión, lo que ha permitido el movimiento lateral dentro de las redes corporativas.

Palo Alto Networks emitió un aviso urgente el 5 de diciembre, instando a los clientes a aplicar la autenticación multifactor (MFA), restringir la exposición del portal a través de firewalls y aplicar los últimos parches.

“GlobalProtect sigue siendo seguro cuando está correctamente configurado, pero los portales que enfrentan a Internet son objetivos de alto valor”, afirmó la compañía. La CISA ha agregado IOC relacionados a su catálogo de vulnerabilidades explotadas conocidas, asesorando a las agencias federales que realicen el parche dentro de las 72 horas.

Los expertos recomiendan aislar críticamente los portales, implementar la segmentación de confianza cero y supervisar la presencia de señales a los servidores C2 alojados en AWS o Azure. A medida que el trabajo híbrido persiste, esta campaña subraya la fragilidad de las VPN heredadas frente a ataques industrializados.

Fuentes:
https://cybersecuritynews.com/palo-alto-globalprotect-attacks/