La falla en Palo Alto que el ransomware Qilin ya explota permite abrir una sesión de VPN sin usuario, sin contraseña y sin pasar la verificación en dos pasos. El parche existe desde mayo. Cinco meses después, grupos de extorsión siguen entrando por esa misma puerta en empresas que nunca actualizaron su cortafuegos.
Unit 42, el equipo de inteligencia de amenazas de Palo Alto Networks, actualizó su informe el 19 de octubre y confirmó quiénes están detrás de los ataques recientes: Spikey Scorpius, nombre con el que rastrea a Qilin, y Tarnished Scorpius, vinculado a INC. Reportes públicos citados en ese mismo informe añaden un tercer nombre, Settra. The Hacker News publicó la actualización este 20 de octubre y la historia escaló rápido entre equipos de seguridad de toda la región.
Falla en Palo Alto y ransomware Qilin: una VPN que acepta a cualquiera
El problema vive en CVE-2026-0257, una vulnerabilidad de omisión de autenticación con puntuación CVSS de 7,8. Afecta al portal y a la puerta de enlace de GlobalProtect, el sistema de acceso remoto de PAN-OS, y también alcanza a Prisma Access. Un atacante puede burlar los controles de acceso e iniciar una conexión de red privada virtual (VPN) como si fuera un empleado legítimo.
Palo Alto Networks corrigió el fallo en mayo de 2026. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) lo sumó el 13 de mayo a su catálogo de vulnerabilidades explotadas conocidas, la lista que marca qué parches son urgentes de verdad. Aun así, las investigaciones de Unit 42 arrancaron a principios de junio y nunca se detuvieron: los escaneos buscan portales expuestos y solo una parte pequeña de los equipos tanteados termina con una sesión abierta, pero esa parte basta para sostener una campaña de meses.
Qilin no apareció ayer en esta historia. Arctic Wolf ya había marcado en julio la explotación de este mismo fallo por parte del grupo, con operaciones que iban del cifrado rápido a la doble extorsión, donde los datos robados se usan como segunda palanca de presión. Lo nuevo es la confirmación de octubre: la actividad sigue, suma operadores y perfecciona el recorrido una vez dentro.
Del acceso remoto al corazón de la red en pocos pasos
Con la sesión de VPN activa, el guion se repite. Datos de Unit 42 describen reconocimiento interno con herramientas de monitoreo y gestión remota de doble uso, movimiento lateral por escritorio remoto (RDP) y por el protocolo de archivos compartidos SMB, y preparación de herramientas para robar credenciales, sacar información y desplegar el cifrado. Sectores tocados por las investigaciones: educación, servicios financieros, salud, alta tecnología, hotelería, manufactura, servicios profesionales y legales, gobierno, transporte y logística, energía, servicios públicos y comercio.
El cambio que más preocupa a los investigadores apunta a la capa de virtualización. En un caso documentado, los atacantes pasaron de la puerta de enlace comprometida al centro de gestión vCenter. Desde ahí desactivaron controles de seguridad en hipervisores ESXi y usaron una herramienta propia para extraer credenciales sin conexión, directo del disco virtual (VMDK) de un controlador de dominio.
Ese rodeo deja fuera a la detección y respuesta en terminales (EDR), porque el robo ocurre fuera del sistema operativo vigilado. El premio son credenciales válidas para todo el dominio: llaves maestras de la red completa. Unit 42 observó también encadenamientos con fallos conocidos de la infraestructura de copias de seguridad Veeam (CVE-2023-27532), un movimiento calculado para dejar a la víctima sin respaldo limpio cuando llegue el cifrado.
Señales para cazar la falla en los registros de GlobalProtect
La recomendación de Palo Alto Networks es directa: aplicar las correcciones y salir a cazar rastros en los registros, con protocolos de respuesta a incidentes ante cualquier evento de conexión exitosa a la puerta de enlace que encaje con los indicadores publicados. Entre las señales figuran identificadores de equipo sospechosos como aa:bb:cc:dd:ee:ff o 00:11:22:33:44:55, y nombres de máquina genéricos como WINDOWS-LAPTOP-001, DESKTOP-GP01 o GP-CLIENT. Una sesión legítima de un lunes cualquiera no suele presentarse así.
La verificación no exige herramientas exóticas. Basta cruzar los eventos de conexión exitosa de GlobalProtect con horarios, países e identificadores de equipo que no encajen con la plantilla real de la empresa. Unit 42 publicó direcciones IP observadas en la actividad previa a la prueba de concepto del 29 de mayo, y ese listado sirve como primer filtro para revisar mayo y junio en los registros históricos de cualquier organización expuesta.
Para las empresas hispanas que sostienen el trabajo remoto sobre GlobalProtect, la lección es incómoda y barata de aplicar: el riesgo ya no es el fallo, es el calendario. Cada semana con el portal sin actualizar regala a Qilin, a INC y a Settra una entrada que luce como tráfico normal de oficina, con sesiones que se confunden con las de cualquier empleado conectado desde casa.
Unit 42 mantiene abiertas las investigaciones iniciadas en junio y dejó su informe en actualización permanente. Palo Alto Networks compartió los hallazgos con los miembros de la Cyber Threat Alliance para acelerar protecciones entre fabricantes. El conteo de portales expuestos que sigue en pie, cinco meses después del parche, dirá si esta historia necesita otra actualización en noviembre.
Fuente: The Hacker News
Foto: The Hacker News
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
