Khai thác lỗ hổng Palo Alto VPN: Vượt MFA và đánh cắp dữ liệu từ VMware

• Lỗ hổng nghiêm trọng: CVE-2026-0257 cho phép kẻ tấn công vượt qua xác thực đa yếu tố (MFA) trên các cổng GlobalProtect.
• Kỹ thuật tấn công: Kẻ tấn công thâm nhập vào hệ thống quản lý VMware và trích xuất thông tin xác thực trực tiếp từ tệp tin đĩa ảo (VMDK).
• Tác nhân đe dọa: Các nhóm như Spikey Scorpius (Qilin) và Tarnished Scorpius (Inc) đã được xác định có liên quan đến chiến dịch này.
• Khuyến nghị: Cần cập nhật ngay lập tức các bản vá từ nhà sản xuất và vô hiệu hóa tính năng xác thực ghi đè (authentication override) nếu chưa thể nâng cấp.

Các chuyên gia an ninh mạng vừa phát đi cảnh báo về một chiến dịch tấn công tinh vi nhắm vào các doanh nghiệp thông qua lỗ hổng bảo mật trên thiết bị Palo Alto Networks GlobalProtect. Lỗ hổng này, được định danh là CVE-2026-0257, cho phép kẻ tấn công vượt qua cơ chế xác thực đa yếu tố (MFA) để thiết lập quyền truy cập trái phép vào mạng nội bộ của tổ chức.

Phân tích kỹ thuật lỗ hổng CVE-2026-0257

Lỗ hổng này ảnh hưởng trực tiếp đến các cổng (portals) và cổng kết nối (gateways) của GlobalProtect trong một số cấu hình triển khai PAN-OS và Prisma Access. Theo các nhà nghiên cứu, lỗ hổng phát sinh khi tính năng authentication override cookies được kích hoạt đồng thời với cấu hình chứng chỉ không an toàn. Với điểm số CVSS 7.8, đây là một lỗ hổng có mức độ nghiêm trọng cao, đòi hỏi sự chú ý đặc biệt từ đội ngũ quản trị hệ thống.

Cơ chế hoạt động của lỗ hổng dựa trên việc lạm dụng cookie xác thực. Thông thường, các cookie này cho phép người dùng đã xác thực trước đó có thể kết nối lại mà không cần thực hiện lại toàn bộ quy trình đăng nhập. Tuy nhiên, các thiết bị bị ảnh hưởng lại giải mã các cookie này mà không kiểm tra tính hợp lệ của hệ thống tạo ra chúng. Nếu chứng chỉ cookie bị tái sử dụng cho một dịch vụ công khai, kẻ tấn công có thể lấy được khóa công khai và giả mạo cookie, từ đó vượt qua các kiểm tra MFA.

Chuỗi tấn công và kỹ thuật khai thác

Sau khi thiết lập quyền truy cập ban đầu, kẻ tấn công sử dụng các công cụ quản lý và giám sát từ xa (RMM) để thăm dò mạng nội bộ. Chúng di chuyển ngang (lateral movement) giữa các hệ thống thông qua giao thức Remote Desktop Protocol (RDP) và Server Message Block (SMB). Mục tiêu cuối cùng thường là thu thập thông tin xác thực, đánh cắp dữ liệu nhạy cảm và triển khai mã độc tống tiền (ransomware).

Một trong những trường hợp đáng chú ý nhất là việc kẻ tấn công di chuyển từ cổng VPN bị xâm nhập sang thiết bị quản lý VMware vCenter. Tại đây, chúng vô hiệu hóa kiểm soát bảo mật execInstalledOnly trên các máy chủ ESXi và sử dụng một công cụ tùy chỉnh để trích xuất thông tin xác thực ngoại tuyến từ tệp tin VMDK của máy chủ điều khiển miền (Domain Controller). Phương pháp này cực kỳ nguy hiểm vì nó bỏ qua các kiểm soát EDR đang chạy bên trong máy ảo, nhắm trực tiếp vào hạ tầng bên dưới hệ điều hành.

Hướng dẫn phát hiện và phòng thủ

Để phát hiện các dấu hiệu xâm nhập, các đội ngũ SOC cần rà soát nhật ký (logs) của GlobalProtect để tìm kiếm các sự kiện gateway-connected thành công từ các nguồn đáng ngờ. Các chỉ số IOCs (Indicators of Compromise) cần lưu ý bao gồm tên thiết bị GP-CLIENT, DESKTOP-GP01 và các host ID như aa:bb:cc:dd:ee:ff.

⚠️ Cảnh báo quan trọng: Nhiều cuộc thăm dò không thiết lập phiên VPN đầy đủ, do đó, các quản trị viên không nên chỉ tập trung vào các phiên kết nối thành công mà cần kiểm tra cả các nỗ lực kết nối bất thường.

Để giảm thiểu rủi ro, các tổ chức cần thực hiện các bước sau:

• Cập nhật phần mềm: Tuân thủ theo hướng dẫn từ Palo Alto Networks và nâng cấp tất cả các cổng, gateway bị ảnh hưởng lên phiên bản mới nhất.
• Vô hiệu hóa tạm thời: Nếu chưa thể cập nhật, hãy vô hiệu hóa tính năng authentication override hoặc tạo mới một chứng chỉ chuyên dụng chỉ dành riêng cho cookie này.
• Giám sát hạ tầng sao lưu: Lưu ý rằng kẻ tấn công cũng có thể kết hợp với lỗ hổng CVE-2023-27532 để nhắm vào hạ tầng sao lưu Veeam, nhằm đánh cắp thông tin xác thực được lưu trữ trong cơ sở dữ liệu cấu hình.

Việc bảo vệ hạ tầng ảo hóa và các cổng kết nối từ xa là ưu tiên hàng đầu trong bối cảnh các nhóm tội phạm mạng ngày càng tinh vi trong việc khai thác các lỗ hổng hạ tầng thay vì chỉ tập trung vào các phần mềm ứng dụng thông thường. Tham khảo thêm thông tin chi tiết tại CISA để cập nhật các cảnh báo bảo mật mới nhất.