Se ha detectado un incremento significativo en los escaneos sospechosos que se dirigen a los portales de inicio de sesión de Palo Alto Networks. Investigadores han observado esfuerzos de reconocimiento desde direcciones IP consideradas sospechosas, lo cual podría indicar una actividad preparatoria para futuros ataques.
Aumento del 500% en direcciones IP enfocadas
Según la empresa de inteligencia cibernética GreyNoise, se ha registrado un incremento del 500% en las direcciones IP que se centran en los perfiles GlobalProtect y PAN-OS de Palo Alto Networks. La actividad alcanzó su punto máximo el 3 de octubre, con más de 1.285 IP únicas involucradas. Normalmente, los escaneos diarios no superan las 200 direcciones.
Distribución geográfica de las direcciones IP
La mayoría de las direcciones IP identificadas se encontraban geolocalizadas en Estados Unidos. Además, se registraron grupos más pequeños ubicados en el Reino Unido, Países Bajos, Canadá y Rusia. Se identificaron dos grupos principales: uno enfocado en objetivos estadounidenses y otro centrado en Pakistán.
Clasificación de las direcciones IP
Según GreyNoise, el 91% de las direcciones IP se clasificó como sospechosas. Un 7% adicional fue etiquetado como maliciosas. La empresa destaca que casi toda la actividad se dirigió a los perfiles emulados de Palo Alto en su plataforma, lo cual sugiere una naturaleza dirigida.
Relación con ataques potencialmente nuevos
GreyNoise ha señalado previamente que la actividad de escaneo suele preceder a ataques que utilizan exploits para vulnerabilidades Zero-Day o día N. La empresa emitió recientemente una alerta sobre el aumento de los escaneos de red dirigidos a dispositivos Cisco ASA, y dos semanas después se confirmó que una vulnerabilidad Zero-Day fue explotada en ataques contra ese producto.
Conclusión
El incremento en las direcciones IP enfocadas en los perfiles de Palo Alto Networks refleja un esfuerzo por identificar dispositivos y posiblemente preparar ataques futuros. La actividad se centra principalmente en perfiles emulados, lo que indica una posible búsqueda de vulnerabilidades.