Affiliates ransomware Qilin aktif mengeksploitasi CVE-2026-0257, kerentanan authentication bypass pada GlobalProtect VPN milik Palo Alto Networks, untuk mendapatkan akses tidak sah ke jaringan korban. Arctic Wolf melaporkan bahwa beberapa insiden pada Juni 2026 berakhir dengan deployment ransomware Qilin setelah eksploitasi awal melalui VPN. Palo Alto telah merilis patch sejak 13 Mei 2026, namun banyak organisasi belum menerapkannya.
APA YANG TERJADI?
Arctic Wolf Labs mengidentifikasi bahwa beberapa intrusi pada Juni 2026 menggunakan CVE-2026-0257 sebagai vector awal yang kemudian dikaitkan dengan deployment ransomware Qilin. Kerentanan ini merupakan authentication bypass pada PAN-OS GlobalProtect, yang memungkinkan penyerang mendapatkan akses VPN tanpa kredensial valid. CISA telah memasukkan CVE-2026-0257 ke dalam Known Exploited Vulnerabilities (KEV) catalog, menegaskan bahwa eksploitasi aktif terjadi di alam liar.
Ransomware Qilin sendiri telah aktif sejak 2022 dan mengklaim lebih dari 40 korban per bulan, dengan puncak mencapai 100 korban pada Juni 2025. Pada Oktober 2025, Qilin mengumumkan aliansi dengan DragonForce dan LockBit, memperluas jangkauan dan kemampuan operasionalnya.
DETAIL TEKNIS
Setelah berhasil mengeksploitasi CVE-2026-0257 dan mendapatkan akses ke jaringan, aktor ancaman menggunakan serangkaian teknik post-exploitation yang canggih. Mereka menjalankan sesi VPN dari mesin Kali Linux, menetapkan persistence melalui registry, dan menginstal remote access tools seperti AnyDesk, Ngrok, LogMeIn, dan MeshAgent untuk mempertahankan akses.
Pencurian kredensial dilakukan melalui dump LSASS dan ekstraksi file NTDS. Lateral movement dilakukan menggunakan PsExec, Remote Desktop Protocol (RDP), dan akun administrator yang sudah dikompromikan. Untuk pemindaian jaringan, mereka menggunakan SoftPerfect Network Scanner dan NetExec. Pencurian data dilakukan dengan Rclone, ProtonDrive, FileZilla, dan MEGA.
Polakan serangan bervariasi dari serangan cepat yang langsung mengenkripsi file hingga double extortion penuh di mana data dicuri terlebih dahulu sebelum enkripsi dilakukan. Rentang waktu antara eksploitasi awal hingga deployment ransomire berkisar dari beberapa hari hingga beberapa minggu, menunjukkan pendekatan yang terencana dan metodis.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki banyak organisasi, termasuk instansi pemerintah dan BUMN, yang menggunakan Palo Alto GlobalProtect VPN untuk remote access. Kerentanan CVE-2026-0257 yang belum dipatch berpotensi menjadi pintu masuk utama bagi ransomware Qilin. Dengan tren ransomware yang semakin agresif di Indonesia, termasuk kasus serangan terhadap institusi kesehatan dan pemerintah daerah, patch management harus menjadi prioritas mutlak.
BSSN telah berulang kali menekankan pentingnya patch management pada infrastruktur kritis nasional. Namun, realitanya banyak organisasi Indonesia yang tertinggal dalam penerapan patch keamanan, terutama pada perangkat network yang downtime-nya sangat berdampak pada operasional. Skenario serangan Qilin yang memanfaatkan VPN sebagai titik masuk sangat relevan mengingat meningkatnya work-from-home dan remote access di sektor pemerintahan dan bisnis Indonesia pasca-pandemi.
REKOMENDASI MITIGASI
Segera patch PAN-OS GlobalProtect ke versi yang telah memperbaiki CVE-2026-0257. Jika patch belum bisa diterapkan, pertimbangkan untuk membatasi akses GlobalProtect dari jaringan eksternal. Implementasikan network segmentation yang memisahkan VPN gateway dari sistem internal kritis. Aktifkan monitoring pada aktivitas LSASS dump, penggunaan PsExec, dan koneksi RDP dari non-standard sources. Audit semua akun VPN secara berkala dan terapkan prinsip least privilege.
Analisa Retasan
Eksploitasi CVE-2026-0257 oleh affiliates Qilin menjadi pengingat penting bahwa perimeter security seperti VPN tidak bisa diandalkan sebagai satu-satunya garis pertahanan. Ketika authentication pada VPN dapat dibypass, seluruh pertahanan berbasis perimeter menjadi tidak berguna. Ini memperkuat argumen bahwa pendekatan zero-trust, di mana setiap akses diverifikasi tanpa memandang lokasi, adalah arsitektur yang paling sesuai untuk lanska ancaman saat ini.
Yang mengkhawatirkan dari pola serangan Qilin adalah ketelitian dan kesabarannya. Aktor ancaman tidak terburu-buru mengenkripsi — mereka terlebih dahulu membangun persistence yang kuat menggunakan multiple remote access tools, mencuri kredensial secara menyeluruh (LSASS dump, NTDS extraction), dan melakukan lateral movement sebelum akhirnya melakukan enkripsi. Pola ini menunjukkan organisasi kriminal yang sangat terstruktur dan berpengalaman, dengan tingkat profitabilitas tinggi yang memungkinkan investasi dalam operasi yang kompleks.
Aliansi Qilin dengan DragonForce dan LockBit juga merupakan perkembangan berbahaya yang harus dipantau. Konsolidasi kelompok ransomware memungkinkan berbagi teknik, infrastruktur, dan database korban. Untuk Indonesia, ini berarti profil target yang lebih luas dan variasi teknik serangan yang lebih beragam. Organisasi harus mengasumsikan bahwa mereka bisa menjadi target kapan saja, dan membangun resilience berlapis yang mencakup prevention, detection, response, dan recovery.
Sumber: SecurityAffairs – Qilin Ransomware Affiliates Abuse CVE-2026-0257 to Gain Unauthorized VPN Access
