Le ransomware Qilin exploite désormais un contournement d’authentification PAN-OS pour obtenir son accès initial sur les pare-feu Palo Alto Networks exposés. Pour une PME ou une ETI, c’est le scénario le plus redouté : l’équipement censé protéger le réseau devient la porte d’entrée du chiffrement. Cet article détaille la chaîne d’attaque, les signaux de détection et les mesures de durcissement à appliquer immédiatement.
Qilin et le contournement d’authentification PAN-OS : ce qui se passe
Les opérateurs de Qilin, l’un des groupes de ransomware-as-a-service les plus actifs de 2026, ont intégré à leur arsenal l’exploitation d’un contournement d’authentification PAN-OS. Le principe est simple et redoutablement efficace : l’attaquant atteint l’interface de gestion du pare-feu depuis Internet, contourne le mécanisme d’authentification, puis pivote vers le réseau interne avec des privilèges d’administration.
Cette approche marque une évolution nette. Là où les affiliés ransomware s’appuyaient historiquement sur le phishing ou des identifiants VPN volés, ils ciblent désormais directement l’équipement de périmètre. L’avantage pour l’attaquant est double : il n’a besoin d’aucune interaction utilisateur, et le pare-feu est rarement couvert par l’EDR.
La chaîne d’attaque observée
- Reconnaissance : identification des interfaces de gestion PAN-OS exposées sur Internet via des moteurs de recherche d’actifs.
- Accès initial : exploitation du contournement d’authentification, sans identifiant valide.
- Persistance : création de comptes administrateurs ou modification des règles de filtrage pour maintenir l’accès.
- Mouvement latéral : utilisation des tunnels VPN légitimes du pare-feu pour atteindre l’Active Directory.
- Exfiltration puis chiffrement : double extorsion classique de Qilin, avec vol de données préalable au déploiement du chiffreur.
Pourquoi les PME et ETI sont particulièrement exposées
Un pare-feu next-gen est souvent le seul équipement de sécurité réellement déployé dans une PME. Il concentre donc l’ensemble de la surface d’attaque périmétrique. Trois facteurs aggravent le risque :
- L’interface de gestion est exposée — pour permettre l’administration à distance ou par un prestataire, elle est fréquemment accessible depuis Internet sans restriction d’adresse source.
- Le cycle de patch est long — mettre à jour un pare-feu implique une coupure de production, souvent repoussée de plusieurs semaines.
- La télémétrie est absente — les journaux PAN-OS ne sont pas toujours envoyés vers un SIEM, ce qui rend le contournement d’authentification invisible.
Cette dynamique est la même que celle observée sur d’autres appliances de périmètre, comme nous l’avions détaillé dans notre analyse du zero-day SonicWall SMA1000 exploité sur les accès VPN.
Détecter le contournement d’authentification PAN-OS
Même sans patch immédiat, plusieurs signaux permettent de repérer une exploitation en cours du contournement d’authentification PAN-OS :
- Connexions administrateur hors plage horaire ou depuis des adresses IP inhabituelles, notamment des sorties Tor ou des hébergeurs cloud low-cost.
- Création ou modification de comptes locaux sur le pare-feu, à corréler systématiquement avec un ticket de changement.
- Modification des règles de sécurité non planifiée, en particulier l’ouverture de flux sortants larges.
- Export de configuration inattendu — les attaquants récupèrent souvent la config complète pour cartographier le réseau interne.
- Pics de trafic sortant depuis les segments serveurs, signe d’exfiltration avant chiffrement.
Remonter les journaux vers le SIEM
La règle de base : les journaux système et de configuration du pare-feu doivent être envoyés en syslog vers votre SIEM, avec une alerte sur toute création de compte et toute modification de règle. Sans cette remontée, une intrusion via l’équipement de périmètre reste invisible jusqu’à la note de rançon.
Durcir PAN-OS contre Qilin : les actions prioritaires
Face à un contournement d’authentification PAN-OS activement exploité par un groupe ransomware, l’ordre des priorités est clair :
- Appliquer le correctif éditeur dès sa publication, en traitant la fenêtre de patch comme une urgence d’exploitation et non comme une maintenance planifiée.
- Retirer l’interface de gestion d’Internet — c’est la mesure la plus efficace. L’administration doit passer par un réseau dédié ou un bastion.
- Restreindre par liste d’adresses autorisées si le retrait complet est impossible, en limitant l’accès aux seules IP de l’entreprise et du prestataire.
- Activer le MFA sur tous les comptes administrateurs du pare-feu, y compris les comptes de service utilisés par l’infogérance.
- Auditer les comptes existants et supprimer les comptes dormants ou partagés.
- Vérifier l’intégrité des sauvegardes et leur isolation réseau, car Qilin cible les sauvegardes avant de chiffrer.
La logique reste celle que nous défendons dans notre article sur la réduction de la fenêtre de patch à l’ère du N-hour : le délai entre la publication d’une faille et son exploitation par un affilié ransomware se compte désormais en heures.
Ce qu’il faut retenir
L’exploitation du contournement d’authentification PAN-OS par Qilin confirme que les équipements de périmètre sont devenus la cible privilégiée des groupes ransomware. Pour une PME-ETI, la protection ne repose pas sur un outil supplémentaire mais sur trois réflexes : sortir les interfaces d’administration d’Internet, patcher les appliances en priorité absolue, et envoyer leurs journaux vers un SIEM supervisé. Un pare-feu non surveillé n’est pas une défense, c’est un angle mort.