Vague d'exploitation coordonnée des VPN Palo Alto, Fortinet, Citrix et Check Point par des ransomwares

🌐 Contexte

Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026.

🎯 Campagnes documentées

Campagne 1 — Fortibleed (Fortinet FortiGate)

• Campagne de masse de collecte de credentials identifiée mi-juin 2026
• Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines)
• Craquage des hashes de mots de passe stockés
• Analysée par Kevin Beaumont, Hudson Rock et SOCRadar
• Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS

Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257)

• Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification
• Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026
• CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA
• Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026
• Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral

Campagne 3 — Check Point VPN (CVE-2026-50751)

• CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié
• Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation)
• Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé
• Affilié Qilin confirmé dans des activités post-compromission
• CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild

Campagne 4 — Citrix NetScaler (CVE-2026-8451)

• CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed
• Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation
• Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal
• IP source d’une campagne tracée : 146.70.139[.]154
• CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026

🛠️ Outils et techniques observés

• Impacket — mouvement latéral et abus de protocoles
• NTLM relay attacks — escalade de privilèges
• Mimikatz — dump de credentials en mémoire
• PsExec, RDP, WMI — mouvement latéral living-off-the-land
• Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine
• WSL (Windows Subsystem for Linux) — évasion EDR
• Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées

🏭 Secteurs ciblés

Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques.

🌍 Géographie

Victimes concentrées aux États-Unis, Royaume-Uni, Australie et Europe occidentale.

📋 Type d’article

Analyse technique et threat intelligence consolidée documentant quatre campagnes actives d’exploitation de VPN par des acteurs ransomware, avec IOCs, TTPs MITRE ATT&CK et tableau comparatif des vulnérabilités.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Qilin (cybercriminal) —

TTP

• T1078 — Valid Accounts (Initial Access)
• T1566 — Phishing (Initial Access)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1072 — Software Deployment Tools (Execution)
• T1003 — OS Credential Dumping (Credential Access)
• T1555.003 — Credentials from Web Browsers (Credential Access)
• T1562 — Impair Defenses (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1021 — Remote Services (Lateral Movement)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1486 — Data Encrypted for Impact (Impact)
• T1490 — Inhibit System Recovery (Impact)

IOC

• IPv4 : 104.207.144.154 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.19.216.119 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.19.216.120 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.19.216.125 — AbuseIPDB · VT · ThreatFox
• IPv4 : 209.99.191.137 — AbuseIPDB · VT · ThreatFox
• IPv4 : 79.130.26.202 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.70.165.52 — AbuseIPDB · VT · ThreatFox
• IPv4 : 216.238.74.98 — AbuseIPDB · VT · ThreatFox
• IPv4 : 64.190.113.151 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.70.139.154 — AbuseIPDB · VT · ThreatFox
• IPv4 : 31.41.244.100 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2026-0257 — NVD · CIRCL
• CVEs : CVE-2026-50751 — NVD · CIRCL
• CVEs : CVE-2026-50752 — NVD · CIRCL
• CVEs : CVE-2026-8451 — NVD · CIRCL
• CVEs : CVE-2026-3055 — NVD · CIRCL
• CVEs : CVE-2023-4966 — NVD · CIRCL
• CVEs : CVE-2025-5777 — NVD · CIRCL

Malware / Outils

• Qilin (ransomware)
• Impacket (framework)
• Mimikatz (tool)
• PsExec (tool)
• Windows Subsystem for Linux (WSL) (other)
• Custom Chrome credential-harvesting script (stealer)

🟢 Indice de vérification factuelle : 70/100 (haute)

• ⬜ cybersecuritynews.com — source non référencée (0pts)
• ✅ 21443 chars — texte complet (fulltext extrait) (15pts)
• ✅ 18 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
• ✅ 13 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Qilin (5pts)
• ⬜ 0/5 CVE(s) confirmée(s) (0pts)

IOCs confirmés externellement :

• 104.207.144.154 (ip) → VT (7/91 détections)
• 146.19.216.119 (ip) → VT (8/91 détections)
• 146.19.216.120 (ip) → VT (7/91 détections)

🔗 Source originale : https://cybersecuritynews.com/ransomware-gangs-attack-vpn/