Ciberdelincuentes están aprovechando una falla crítica de elusión de autenticación en los firewalls de Palo Alto Networks para infiltrarse en redes corporativas y desplegar el ransomware Qilin. Según las investigaciones de Arctic Wolf Labs, múltiples intrusiones detectadas en junio de 2026 tuvieron su punto de entrada inicial en esta misma vulnerabilidad.

Los actores de amenazas están explotando activamente un fallo crítico de omisión de autenticación en los firewalls de Palo Alto Networks para vulnerar redes corporativas y desplegar el ransomware Qilin, según una nueva investigación de Arctic Wolf Labs.

La firma de seguridad investigó múltiples intrusiones a lo largo de junio de 2026, todas ellas rastreadas hasta la misma vulnerabilidad como punto de entrada inicial.

El fallo, seguido como CVE-2026-0257 (CVSS 7.8), afecta al portal y a la puerta de enlace de GlobalProtect en PAN-OS. Se vuelve explotable cuando las cookies de anulación de autenticación están habilitadas junto con configuraciones de certificados específicos, lo que permite a atacantes no autenticados omitir completamente los controles de inicio de sesión y establecer sesiones de VPN que parecen legítimas.

Las versiones afectadas incluyen PAN-OS 12.1, 11.2, 11.1 y 10.2 (antes de compilaciones parcheadas específicas), así como ciertas versiones de Prisma Access. Palo Alto Networks ha confirmado una explotación activa limitada en el entorno real.

En las intrusiones que Arctic Wolf revisó, los atacantes utilizaron sesiones de VPN comprometidas para obtener acceso directo e interactivo a las redes de las víctimas, saltándose completamente la autenticación del perímetro.

Vulnerabilidad de PAN-OS Explotada

Una vez dentro, los atacantes siguieron un manual de acción rápido:

• Establecieron persistencia utilizando claves de ejecución del registro con un patrón de nomenclatura distintivo (un asterisco más seis letras minúsculas aleatorias)
• Desplegaron herramientas de acceso remoto como AnyDesk, Ngrok y LogMeIn para obtener conectividad redundante
• Extrajeron credenciales de la memoria LSASS utilizando rundll32.exe y comsvcs.dll, disfrazando la salida como un archivo ".odt" para evadir la detección
• Extrajeron toda la base de datos de Active Directory a través de ntdsutil.exe, obteniendo acceso a las credenciales de todo el dominio
• Utilizaron PsExec y carpetas compartidas administrativas (C$) para el movimiento lateral a través de la red

Cabe destacar que varios ataques se originaron desde sistemas que se identificaban a sí mismos con el nombre de host “kali”, y aparecieron direcciones IP coincidentes tanto en la explotación inicial como en sesiones posteriores de VPN, lo que sugiere una infraestructura o herramientas compartidas entre los afiliados de Qilin.

Aunque el punto de entrada y las técnicas principales se mantuvieron estables, el comportamiento posterior a la explotación varió significativamente. Algunas intrusiones pasaron directamente al cifrado con un tiempo de permanencia mínimo, mientras que otras implicaron un reconocimiento exhaustivo, recolección de credenciales a gran escala y robo de datos mediante Rclone hacia el almacenamiento en la nube MEGA antes del despliegue del ransomware.

Esta variación es típica de las operaciones de ransomware como servicio (RaaS), donde diferentes afiliados utilizan herramientas compartidas pero aplican sus propias estrategias.

Antes de activar el cifrado, los atacantes desactivaron rutinariamente la protección en tiempo real de Microsoft Defender y borraron los registros de eventos de Windows mediante un script de PowerShell que limpia cada canal de registro del sistema, no solo los de Seguridad o Sistema, lo que hace que la recuperación forense sea mucho más difícil.

El payload del ransomware en sí, nombrado consistentemente win.exe, fue colocado en C:\PerfLogs\, un directorio predeterminado de Windows que rara vez es monitoreado por las herramientas de seguridad. La ejecución requería un parámetro de contraseña, lo que complica el análisis en sandbox.

Recomendaciones Tácticas de Seguridad

Arctic Wolf te recomienda tomar medidas inmediatas:

• Parchea el CVE-2026-0257 en todos los despliegues de PAN-OS y Prisma Access expuestos a Internet
• Termina todas las sesiones activas de GlobalProtect después de aplicar el parche
• Rota todas las credenciales del dominio, incluida la cuenta KRBTGT, si sospechas que ha habido explotación
• Monitorea y restringe la ejecución desde C:\PerfLogs
• Reenvía los registros de eventos de Windows a un SIEM centralizado para preservar la evidencia incluso si se borran los registros locales

Arctic Wolf evalúa con confianza moderada que la explotación de esta vulnerabilidad que conduce al despliegue del ransomware Qilin continúa, impulsada por una actividad de escaneo generalizada y la tendencia del modelo RaaS a distribuir exploits funcionales entre múltiples afiliados.