Qilin-Affiliates nutzen PAN-OS-Schwachstelle für Angriffe auf Unternehmensnetzwerke

Unter Burghistorikern kursiert ein alter Witz: Der Grund, warum mittelalterliche Belagerungen so lange dauerten, waren nicht die Mauern – sondern der Zugbrückenwärter. Wer ihn bestach, sich als ihn ausgab oder Zugang zu ihm fand, machte die gesamte Befestigung zur Kulisse. Genau das passiert gerade bei einer Reihe von Palo-Alto-Networks-Kunden. Die Firewall – das Gerät, das Sie ausdrücklich als Zugbrücke gekauft haben – senkt sich still und heimlich für Qilin-Ransomware-Affiliates.

Und die Betreiber dahinter wissen nicht einmal, dass gerade ein Fremder in Mitarbeiteruniform hereinspaziert ist.

Was geschah

Arctic Wolf Labs verbrachte den Juni 2026 damit, eine Reihe von Einbrüchen zu analysieren, die alle auf dieselbe Eingangstür zurückführten. Wie CyberSecurityNews berichtete, ließ sich jeder dieser Vorfälle auf CVE-2026-0257 zurückführen – eine Authentifizierungsumgehung im GlobalProtect-Portal und -Gateway innerhalb von PAN-OS. Der CVSS-Score liegt bei 7,8, was normalerweise eher ein Ticket für den Dienstagmorgen auslöst als einen Anruf um 2 Uhr nachts. Diese Bewertung unterschätzt die tatsächliche Gefahr erheblich.

Die Schwachstelle greift nur unter einer bestimmten Kombination: Authentifizierungs-Override-Cookies, die zusammen mit bestimmten Zertifikatskonfigurationen aktiviert sind. Ist diese Kombination gegeben, können nicht authentifizierte Angreifer die Anmeldeseite vollständig überspringen und VPN-Sitzungen aufbauen, die für alle nachgelagerten Systeme vollkommen legitim wirken. Betroffen sind PAN-OS 12.1, 11.2, 11.1 und 10.2 vor den gepatchten Versionen sowie bestimmte Prisma-Access-Versionen. Palo Alto hat begrenzte aktive Ausnutzung in der Praxis bestätigt.

Nach dem Passieren der Zugbrücke handelten die Affiliates schnell. Sie platzierten Registry-Run-Keys mit einem auffällig spezifischen Benennungsmuster: ein Sternchen gefolgt von sechs zufälligen Kleinbuchstaben. Sie schichteten AnyDesk, Ngrok und LogMeIn übereinander, damit der Verlust eines Kanals nicht den Netzwerkzugang kostete. Sie extrahierten Anmeldedaten aus LSASS über rundll32.exe und comsvcs.dll, wobei der Dump als .odt-Datei getarnt wurde. Sie rissen die gesamte Active Directory-Datenbank mit ntdsutil.exe heraus. Dann folgten PsExec und C$-Freigaben für die seitliche Bewegung, Rclone zu MEGA für die Exfiltration, die Deaktivierung des Echtzeitschutzes von Defender und das Löschen der Windows-Ereignisprotokolle durch ein PowerShell-Skript, das jeden Kanal auf dem System leert – nicht nur Sicherheits- und Systemprotokolle. Die Ransomware-Nutzlast win.exe lag in C:\PerfLogs\ und wartete auf einen Passwortparameter, bevor sie ausgelöst wurde.

Technische Analyse

Der Kern des Problems: Es handelt sich weder um einen Speicherkorrumpierungsfehler noch um eine raffinierte Exploit-Kette, sondern um einen Logikfehler im Authentifizierungs-Override-Pfad. Override-Cookies existieren aus legitimen Gründen. Administratoren möchten Sitzungen während Zertifikatsrotationen aktiv halten und Benutzeraussperrungen bei Wartungsarbeiten vermeiden. Doch sobald dieses Override-Verhalten mit einer bestimmten Zertifikatskonfiguration kombiniert wird, hört das Gateway auf zu fragen, wer Sie sind. Angreifer brechen nicht die Tür auf – sie gehen hinein und halten dabei einen Cookie, der besagt: „Bereits verifiziert, bitte weitergehen."

Das Raffinierte – wenn man es so nennen kann – ist, was danach passiert. Die VPN-Sitzung, die der Angreifer aufbaut, ist kein zusammengestückelter Tunnel, der Anomalieerkennung auslöst. Es ist eine echte GlobalProtect-Sitzung, ununterscheidbar von einem Entwickler im Homeoffice, der sich aus einem Hotel verbindet. Jede SIEM-Regel, die auf „ungewöhnlichen VPN-Endpunkt" oder „verdächtigen Auth-Versuch" ausgerichtet ist, sortiert sie ordnungsgemäß unter normalem Datenverkehr ein.

Von dort aus führten die Affiliates ein lehrbuchhaftes Post-Exploitation-Playbook aus, das sich sauber auf MITRE ATT&CK abbilden lässt: T1547.001 für die Run-Key-Persistenz, T1003.001 für das LSASS-Dumping, T1003.003 für die NTDS-Extraktion, T1021.002 für die seitliche SMB-Bewegung, T1567.002 für die Rclone-Exfiltration zu MEGA. Die getarnte .odt-Ausgabe ist eine raffinierte Ergänzung. Niemand schreibt YARA-Regeln für OpenDocument-Dateien in einem temporären Verzeichnis.

Das Staging in C:\PerfLogs\ verrät, dass diese Akteure viele Windows-EDRs beobachtet haben. Dieser Ordner wird mit dem Betriebssystem ausgeliefert, hat legitime Schreibaktivität durch den Leistungsmonitor und wird fast universell vom aktiven Scanning ausgeschlossen. Kombiniert mit einer passwortgeschützten Nutzlast wird die meiste automatisierte Sandbox-Analyse ausgehebelt, bevor die Probe überhaupt ausgeführt wird. Die Überschneidung bei Quell-IPs zwischen dem initialen Exploit-Traffic und den späteren VPN-Sitzungen sowie der wiederkehrende Hostname „kali" deuten auf einen kleinen Pool gemeinsamer Infrastruktur hin, die unter Qilin-Affiliates weitergereicht wird. Derselbe Zugbrückentrick, jede Woche ein anderer Gast.

Wer betroffen ist

Wer schon einmal ein Wochenende damit verbracht hat, KRBTGT nach einem AD-Kompromiss zu rotieren, kennt die Antwort auf „Für wen ist das schlimm?" – im Grunde jeden, der hinter einem ungepatchten Palo-Alto-Edge-Gerät sitzt. Das ist ein weites Netz. GlobalProtect ist die Standardantwort für Fernzugriff bei einem großen Teil des mittelständischen Finanzsektors, von iGaming-Betreibern und Zahlungsdienstleistern. Es ist das Gerät, das den Tunnel für den Bereitschaftsingenieur, den Offshore-Support-Desk und den Drittanbieter-Integrator mit C$-Share-Zugang zu einem halben Maschinenpark terminiert.

Für iGaming-Plattformen ist dies ein besonders unangenehmes Szenario. Regulierungsbehörden in den meisten Jurisdiktionen verlangen eine Benachrichtigung innerhalb von Stunden, wenn Spielerdaten oder Wallet-Guthaben berührt wurden. Wenn Ihre Ereignisprotokolle durch einen PowerShell-Einzeiler über alle Kanäle hinweg gelöscht wurden, wird Ihre Rekonstruktion des Vorfallszeitrahmens zur forensischen Archäologie – und das Gespräch mit der Aufsichtsbehörde erheblich teurer. Das Rclone-zu-MEGA-Exfiltrationsmuster bedeutet, dass Sie es zusätzlich zu einer Compliance-Untersuchung mit einer Doppelerpressung zu tun bekommen.

Fintechs, die Prisma Access als SASE-Fabric nutzen, befinden sich in derselben Lage mit einem größeren Schadenspotenzial. Wenn die Schwachstelle im cloud-basierten Gateway liegt, könnte ein Angreifer, der die Authentifizierung dort umgeht, Zugang zu jeder internen Umgebung erlangen, die daran hängt. Arctic Wolfs Einschätzung, dass die Ausnutzung durch weitreichendes Scanning aktiv vorangetrieben wird, zeigt, dass Affiliates derzeit gezielt nach der spezifischen Fehlkonfiguration suchen. Die nächsten 90 Tage werden zeigen, welche Teams letzte Woche gepatcht haben und welche noch Änderungsanträge stellen.

Ad-Tech- und Enterprise-Infrastrukturunternehmen mit übernommenen Tochtergesellschaften bilden die dritte erwähnenswerte Kategorie. Jede Akquisition bringt ihre eigenen Edge-Appliances, ihre eigenen Change-Windows und ihren eigenen „wir kümmern uns darum nach der Migration"-Rückstand mit. In diesem Rückstand lebt Qilin.

Handlungsempfehlungen für Sicherheitsteams

Patchen Sie CVE-2026-0257 auf jeder internetexponierten PAN-OS- und Prisma-Access-Instanz diese Woche – nicht im nächsten Sprint. Beenden Sie danach unbedingt alle aktiven GlobalProtect-Sitzungen nach dem Einspielen des Patches. Ein gepatchtes Gateway mit einer noch aktiven Vor-Patch-Sitzung ist weiterhin ein kompromittiertes Gateway. Besteht der geringste Verdacht auf Ausnutzung, rotieren Sie Domain-Anmeldedaten einschließlich KRBTGT zweimal im üblichen 24-Stunden-Abstand – denn die NTDS-Extraktion gibt den Affiliates die gesamte Hash-Tabelle zum Offline-Knacken.

Fügen Sie eine Überwachungsregel für Prozessausführungen aus C:\PerfLogs\ hinzu. Es gibt keinen legitimen Grund, warum eine signierte Binärdatei aus diesem Ordner untergeordnete Prozesse starten sollte. Gleiches gilt für jeden Registry-Run-Key, dessen Wert einem Sternchen gefolgt von sechs Kleinbuchstaben entspricht – das ist eine kostenlose Erkennungsregel, die Ihnen die Nachlässigkeit der Qilin-Affiliates beschert hat.

Leiten Sie Windows-Ereignisprotokolle nahezu in Echtzeit an ein zentrales SIEM weiter. Wenn Angreifer Ihre lokalen Protokolle löschen können, nachdem diese bereits weitergeleitet wurden, haben sie nichts Wesentliches gelöscht. Achten Sie auf ntdsutil.exe-Ausführungen außerhalb dokumentierter Wartungsfenster und auf rundll32.exe, das comsvcs.dll lädt – was auf einem Produktionsserver fast nie eine gutartige Erklärung hat. Gleichen Sie Quell-IPs mit dem CISA KEV-Katalog ab, während sich die Indicators of Compromise verbreiten.

Der langweilige Teil – aber der, an dem alles scheitert, wenn Sie ihn überspringen: Prüfen Sie, bei welchen Ihrer GlobalProtect-Bereitstellungen tatsächlich Authentifizierungs-Override-Cookies zusammen mit der anfälligen Zertifikatskonfiguration aktiviert sind. Diese Kombination ist der spezifische Auslöser. Das Deaktivieren dieser Option ist schneller als das Patchen und verschafft Ihnen Zeit.

Wichtigste Erkenntnisse

• CVE-2026-0257 ermöglicht es nicht authentifizierten Angreifern, legitim wirkende GlobalProtect-VPN-Sitzungen aufzubauen, wenn Override-Cookies auf eine bestimmte Zertifikatskonfiguration treffen. Der CVSS-Score von 7,8 unterschätzt die operative Auswirkung.
• Arctic Wolf verknüpfte mehrere Qilin-Ransomware-Einbrüche im Juni 2026 mit diesem einzigen Einstiegspunkt und bewertet mit mäßiger Zuversicht, dass die Ausnutzung weiterhin aktiv ist.
• Die Post-Exploitation folgt einem gemeinsamen RaaS-Playbook: Registry-Run-Key-Persistenz, als .odt-Dateien getarnte LSASS-Dumps, NTDS-Extraktion, Rclone-zu-MEGA-Exfiltration und vollständige Ereignisprotokoll-Löschungen, bevor die win.exe-Nutzlast aus C:\PerfLogs\ ausgelöst wird.
• Patchen allein reicht nicht. Beenden Sie aktive GlobalProtect-Sitzungen, rotieren Sie KRBTGT bei Verdacht zweimal und übermitteln Sie Ereignisprotokolle, bevor Angreifer darauf zugreifen können.
• Die Zugbrücke funktioniert nur, wenn der Wärter nicht imitiert werden kann. Behandeln Sie jede Auth-Override-Funktion an einer Edge-Appliance als permanenten Prüfpunkt – nicht als einmalig konfigurierte Einstellung.