近期資安研究發現，名為 Qilin（又稱 Agenda）的勒索軟體組織正利用 Palo Alto Networks 的 PAN-OS 系統漏洞，作為進入企業內網的跳板。這類攻擊不僅展示了漏洞利用的危險性，更揭露了現代勒索軟體採取 RaaS（勒索軟體即服務）模式後的分工特性。
漏洞利用：從認證繞過到建立 VPN 連線
這次攻擊的核心在於一個編號為 CVE-2026-0257 的高風險漏洞。這個漏洞屬於認證繞過（Authentication Bypass），簡單來說，就是攻擊者可以在不需要正確帳號密碼的情況下，欺騙系統讓其認為已經通過驗證。
在特定的設定環境下，尤其是當系統啟用了認證覆蓋 Cookie（Authentication Override Cookies）且憑證配置有誤時，遠端攻擊者可以直接繞過登入機制，建立一個合法的 SSL VPN 連線。對於企業來說，VPN 通常是進入內部網路的信任通道，一旦這個入口被攻破，攻擊者就等同於擁有了一個合法員工的身份進入內網，這讓後續的偵測變得極其困難。
內網滲透：從權限提升到橫向移動
一旦進入網路，Qilin 的攻擊者會採取一套標準化的滲透流程。他們首先會嘗試獲取管理員權限，隨後利用 Windows 的管理共享（Administrative Shares）配合 PsExec 工具進行橫向移動。
PsExec 是一個強大的系統管理工具，允許管理員在遠端電腦上執行程序。但在攻擊者手中，它變成了在內網中快速散播惡意程式的武器。為了降低被發現的機率，攻擊者在執行勒索軟體前會採取兩項關鍵動作：第一是清除事件日誌（Event Logs），抹除入侵痕跡；第二是關閉 Microsoft Defender 的即時防護功能，確保勒索程式能順利運行而不會被攔截。
RaaS 模式下的分工與多樣性
值得關注的是，雖然進入內網的方式（利用 PAN-OS 漏洞）與部署工具（PsExec、特定路徑 C:\PerfLogs\）非常一致，但後續的攻擊行為卻大相徑庭。
有些攻擊者採取快攻模式，進入後迅速加密所有檔案，不進行資料外洩；而有些則採取雙重勒索（Double Extortion）策略，先利用 Rclone 或 FileZilla 等工具將企業敏感資料外洩至 MEGA 等雲端儲存空間，以此威脅企業即使能還原備份，也必須付錢否則資料將被公開。
這種現象反映了 RaaS（Ransomware-as-a-Service）的運作邏輯。RaaS 就像是一種加盟制，核心開發團隊提供勒索軟體工具與初始入侵路徑（Initial Access），而實際執行攻擊的加盟商（Affiliates）則根據自己的習慣決定後續的操作流程。這解釋了為什麼同一波攻擊中，有些公司僅遭遇加密，有些則遭遇大規模資料竊盜。
實務建議與防禦重點
對於工程師與系統管理員而言，此案例提醒我們兩個重點。首先是邊界設備的補丁管理，VPN 設備是企業的最前線，任何認證繞過漏洞都等同於將大門敞開，必須優先更新至最新版本。其次是監控內網的異常行為，例如非預期的 PsExec 執行、Defender 防護被關閉或大量日誌被刪除，這些都是典型的勒索軟體入侵特徵。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。