GlobalProtect под атакой: 3 новости об угрозах VPN и приватности

Вымогатели получили рабочий путь к VPN-шлюзам Palo Alto, пока исследователи связывают DNS-туннели с Ираном без достаточных доказательств. В этом выпуске также разбираем обновление Tor Browser с новыми версиями Firefox, Tor, NoScript и OpenSSL.

• Qilin и Settra обходят аутентификацию GlobalProtect
• DNS-туннели supaghost связали с Ираном условно
• Tor Browser обновил компоненты и исправления безопасности

Qilin и Settra используют обход аутентификации GlobalProtect

Вымогательские группировки Qilin и Settra уже эксплуатируют CVE-2026-0257, уязвимость в VPN-шлюзах Palo Alto GlobalProtect на PAN-OS и в Prisma Access. Ошибка позволяет обойти аутентификацию при определённой конфигурации сертификатов и включённых authentication override cookies.

По данным ReliaQuest, в связанной активности замечены Cobalt Strike, BloodHound и SharpHound. Исследователи также обнаружили подозрительные сессии GlobalProtect с хостнеймом «kali». ReliaQuest считает высоковероятным, что эксплуатация CVE-2026-0257 заметно расширится в ближайшие три месяца.

Panorama и Cloud NGFW этой уязвимостью не затронуты. Для остальных конфигураций одной установки патча недостаточно: уже полученный доступ он не отменяет. Palo Alto рекомендует срочно обновить системы, отключить override cookies и после установки исправления завершить все активные сессии GlobalProtect.

Supaghost превратил DNS в двусторонний туннель

С 1 марта 2026 года DomainTools наблюдает за доменом supaghost[.]cc, который генерировал до 500 тыс. новых DNS-наблюдений в секунду. Для сравнения, обычный объём по всей сети составляет около 1 млн записей в секунду. За несколько дней домен накопил примерно 40 млрд записей, преимущественно TXT.

Структура трафика указывает на VPN поверх DNS, то есть на двустороннее туннелирование данных через DNS-запросы и ответы. Похожее поведение нашли более чем у 100 доменов. Среди связанных адресов непропорционально часто встречается зона.ir, а многие домены зарегистрированы в сентябре-ноябре 2025 года.

Всплеск активности совпал с почти полным отключением интернета в Иране 28 февраля, которое зафиксировала Cloudflare. Но делать вывод о государственной операции пока рано: содержимое канала не расшифровано, владелец инфраструктуры не установлен, а связь с госструктурами Ирана не доказана.

Tor Browser 15.0.25 обновил сразу несколько компонентов

12 октября Tor Project выпустил Tor Browser 15.0.25. В браузер перенесли исправления безопасности из Firefox 158, включая изменения из tor-browser#45382.

Внутри сборки также обновлены:

• tor до версии 0.4.9.14;
• NoScript до версии 13.6.36.1984;
• OpenSSL до версии 3.5.9.

Для Windows разработчики перевели сборку на новый сертификат подписи. Пользователям Tor Browser стоит установить обновление, особенно если браузер используется для доступа к чувствительным данным или сервисам через анонимную сеть.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения