Arctic Wolf beschreibt mehrere Angriffe, bei denen CVE-2026-0257 den ersten Zugang lieferte. Die Schwachstelle betrifft Portal- und Gateway-Bausteine von PAN-OS und wurde inzwischen geschlossen. Nach erfolgreicher Ausnutzung konnten die Angreifer ohne gültige Anmeldedaten VPN-Verbindungen herstellen, sofern die betroffene Konfiguration mit aktivierten Cookies zur Authentifizierungsübersteuerung vorlag.
Von diesem Zugang aus etablierten die Täter laut dem Bericht SSL-VPN-Sitzungen und bewegten sich anschließend weiter im Netzwerk. Dazu gehörten das Abgreifen von Zugangsdaten sowie laterale Bewegung über Windows-Administrationsfreigaben unter Verwendung kompromittierter Administratorkonten. Als Ausführungsweg für weitere Systeme setzten die Angreifer konsistent PsExec ein.
Trotz Unterschieden im weiteren Verlauf erkannte Arctic Wolf wiederkehrende operative Muster. Die Ransomware wurde demnach unter C:\PerfLogs\ abgelegt, die Schadlasten waren passwortgeschützt, und vor dem Start der Verschlüsselung wurden umfassend Protokolle gelöscht. Außerdem deaktivierten die Angreifer nach Angaben der Forscher Microsoft Defender Real-Time Protection, um die Wahrscheinlichkeit einer Entdeckung zu senken und forensische Spuren zu verringern.
Auch bei der Persistenz fanden die Analysten Gemeinsamkeiten. Erwähnt wird ein ungewöhnliches Muster in der Windows-Registrierung: ein Sternchen, gefolgt von sechs zufällig wirkenden Kleinbuchstaben. Zugleich unterschieden sich die Angriffe nach dem ersten Zugriff deutlich von Opfer zu Opfer.
Arctic Wolf beobachtete dabei sowohl reine, schnelle Verschlüsselungsoperationen als auch voll ausgeprägte doppelte Erpressung. In manchen Fällen kam es zu einer unternehmensweiten Verschlüsselung ohne Datenabfluss, begleitet von umfangreicher Aufklärung über Fernzugriffswerkzeuge wie AnyDesk, Ngrok oder LogMeIn. In anderen Fällen registrierten die Forscher groß angelegten Diebstahl von Zugangsdaten sowie Datenabfluss zum Cloud-Dienst MEGA, bevor die Ransomware gestartet wurde. Für diesen Schritt kamen laut Bericht Rclone, Proton Drive und FileZilla zum Einsatz.
Die Sicherheitsfirma wertet diese Unterschiede als vereinbar mit einem Ransomware-as-a-Service-Modell. Wörtlich erklärte Arctic Wolf, die Variabilität passe dazu, dass mehrere Affiliates eine gemeinsame Infrastruktur für den Erstzugang und gemeinsame Ransomware-Werkzeuge nutzen, bei den Schritten nach der Kompromittierung aber ihre jeweils bevorzugten Methoden einsetzen. Auch die Mischung aus schnellen Verschlüsselungsangriffen und doppelte Erpressung deute möglicherweise auf mehrere Akteure unter dem Qilin-RaaS-Dach hin.