事件背景与影响
近期，网络安全领域监测到Qilin勒索病毒团伙正频繁利用Palo Alto Networks PAN-OS GlobalProtect的身份验证绕过漏洞（CVE-2026-0257）对企业网络发起攻击。该漏洞于2026年5月中旬被披露，由于其直接影响GlobalProtect门户和网关，使得攻击者能够绕过安全限制，建立未经授权的VPN连接，进而深入内网进行破坏。
从我们的应急响应经验来看，VPN网关作为企业边界防线的“守门员”，一旦出现身份验证漏洞，防御体系将瞬间崩塌。目前，该漏洞已被美国CISA列入已知被利用漏洞（KEV）目录，且已有多个行业遭受勒索攻击，威胁等级极高。
攻击链深度解析
根据我们的分析，Qilin勒索团伙的攻击路径具有高度的组织性。攻击者通常以漏洞利用为起点，随后迅速展开横向渗透。
首先，攻击者利用CVE-2026-0257漏洞通过Kali Linux系统建立非法VPN会话，从而获得内网访问权限。随后，他们会通过注册表Run键、计划任务以及部署AnyDesk、Ngrok、MeshAgent等远程管理工具维持持久化控制。
在获得内网立足点后，攻击者会通过Dump LSASS内存和提取NTDS数据库来窃取管理员凭据。利用获取的权限，他们使用PsExec、RDP等工具进行横向移动，并利用SoftPerfect Network Scanner等工具进行内网侦察。
这一环节是很多企业容易忽视的，即攻击者在加密数据前往往会有漫长的侦察与数据窃取过程。部分分支机构甚至会在部署勒索软件前，通过Rclone等工具将大量敏感数据外传至云端，实施典型的“双重勒索”。
技术手法与组织特征
Qilin作为活跃的勒索软件即服务（RaaS）组织，其攻击策略呈现出明显的差异化。在某些案例中，攻击者追求“快进快出”，直接对全网进行加密；而在另一些案例中，攻击者则表现出极强的耐心，进行深度信息窃取。
该团伙通常将勒索软件载荷伪装为win.exe，存放在C:\PerfLogs目录下。为了掩盖行踪，攻击者不仅会清除Windows事件日志，有时还会尝试禁用Microsoft Defender。这种针对性极强的操作手法，体现了该组织成熟的自动化渗透能力。
值得关注的是，Qilin近年来频繁与其他勒索团伙结盟，共享基础设施与攻击工具，这种“协作模式”使得其攻击效率大幅提升，这也是类似攻击近年来明显增加的核心原因。
安全建议与Solar经验
面对此类利用边界设备漏洞的攻击，仅仅依靠传统的防护手段已不足够。基于Solar应急响应团队的实战经验，我们建议企业采取以下措施：
第一，立即开展资产清查与补丁更新。务必核实所有Palo Alto Networks设备是否已安装官方补丁，对于无法即时更新的设备，应采取严格的访问控制策略，限制外网对GlobalProtect接口的访问。
第二，强化边界监控。应重点审计VPN登录日志，排查是否存在异常来源IP及非工作时间段的异常登录会话。一旦发现可疑连接，应立即隔离相关设备。
第三，部署全网端点防护。在内网中，应重点监控PsExec的使用、敏感进程（如LSASS）的读取行为以及远程管理工具的意外启动。
第四，构建数据备份与应急预案。确保核心业务数据拥有离线备份，并定期进行恢复演练，以应对最坏情况下的勒索攻击。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com