Negli ultimi mesi diversi attacchi ransomware hanno mostrato quanto una vulnerabilità su un componente di accesso remoto possa trasformarsi rapidamente in una compromissione completa. Un caso emblematico riguarda lo sfruttamento di una falla di autenticazione in PAN OS, usata come punto di ingresso iniziale per distribuire il ransomware Qilin, noto anche come Agenda.
La vulnerabilità identificata come CVE 2026 0257 è stata corretta, ma è stata osservata in attacchi reali come metodo per ottenere accesso non autorizzato ai portali e ai gateway.
Il meccanismo è particolarmente insidioso per chi utilizza SSL VPN. In determinate configurazioni, quando sono abilitate le authentication override cookies insieme a specifiche impostazioni dei certificati, un attaccante remoto non autenticato può aggirare i controlli e stabilire sessioni VPN senza credenziali valide. In pratica il perimetro viene superato prima ancora che l’utente dimostri la propria identità, aprendo la strada a movimenti laterali e ad azioni di post-exploitation.
Una volta ottenuto accesso autenticato alla rete della vittima, gli attaccanti hanno mostrato schemi operativi ricorrenti. Tra questi spiccano la preparazione del payload ransomware nella directory C:\PerfLogs, l’uso di PsExec per eseguire codice in modo laterale tramite condivisioni amministrative di Windows e la distribuzione di payload protetti da password. Un altro elemento frequente è la pulizia aggressiva dei log, utile a ridurre la visibilità forense e a rendere più complessa la ricostruzione della catena di attacco. In alcuni casi viene anche disattivata la protezione in tempo reale di Microsoft Defender prima dell’esecuzione del ransomware.
Le intrusioni non sono state tutte uguali. Alcune hanno puntato su cifratura rapida e su larga scala senza esfiltrazione di dati, mentre altre hanno seguito un modello di doppia estorsione con furto di credenziali ed esfiltrazione verso servizi cloud come MEGA prima della cifratura. Sono stati inoltre osservati strumenti di accesso remoto e tunneling per attività di ricognizione e controllo, insieme a utility per il trasferimento dati come Rclone, Proton Drive e FileZilla.
Questa variabilità è coerente con un modello ransomware-as-a-service, dove più affiliati condividono l’accesso iniziale e parte della toolchain, ma applicano tecniche diverse nella fase successiva.