Attività di scansione massiccia sui portali di login di Palo Alto Networks
La società di threat intelligence GreyNoise ha rivelato un notevole aumento dell’attività di scansione mirata ai portali di login di Palo Alto Networks. Il 3 ottobre 2025, è stato registrato un incremento del 500% degli indirizzi IP coinvolti in queste scansioni, il livello più alto degli ultimi tre mesi. Questo traffico è stato descritto come mirato e strutturato, con l’obiettivo principale sui portali di login di Palo Alto.
Un totale di 1.300 indirizzi IP unici ha partecipato a questa attività, un aumento significativo rispetto ai circa 200 indirizzi IP unici osservati in precedenza. Di questi, il 93% è stato classificato come sospetto e il 7% come malevolo. La maggior parte degli indirizzi IP è geolocalizzata negli Stati Uniti, con piccoli gruppi rilevati nel Regno Unito, nei Paesi Bassi, in Canada e in Russia.
Confronto con le scansioni di Cisco ASA
GreyNoise ha notato che questo aumento di attività su Palo Alto presenta caratteristiche simili alle scansioni di Cisco ASA avvenute nelle ultime 48 ore. In entrambi i casi, gli scanner hanno mostrato una concentrazione regionale e una sovrapposizione nel fingerprinting degli strumenti utilizzati. Il traffico di scansione di Cisco ASA e Palo Alto negli ultimi due giorni condivide un’impronta TLS dominante legata a infrastrutture nei Paesi Bassi.
Risposta di Palo Alto Networks
Interpellata riguardo al picco di attività, Palo Alto Networks ha dichiarato che non ci sono segni di compromissione. “La sicurezza dei nostri clienti è sempre la nostra massima priorità”, ha affermato l’azienda. “Abbiamo indagato sull’attività di scansione segnalata e non abbiamo trovato prove di una compromissione”.
Palo Alto Networks si affida alla propria piattaforma Cortex XSIAM, che blocca 1,5 milioni di nuovi attacchi giornalieri e riduce autonomamente 36 miliardi di eventi di sicurezza nelle minacce più critiche per garantire la sicurezza della propria infrastruttura. L’azienda rimane fiduciosa nella sua robusta postura di sicurezza e nella capacità di proteggere la propria rete.
Precedenti attività di scansione
Ad aprile 2025, GreyNoise aveva segnalato un’attività di scansione sospetta simile, mirata ai gateway GlobalProtect di Palo Alto Networks PAN-OS, spingendo l’azienda di sicurezza di rete a esortare i clienti a utilizzare le versioni più recenti del software. GreyNoise ha osservato che aumenti di scansioni malevole, tentativi di forza bruta o exploit sono spesso seguiti dalla divulgazione di una nuova CVE che colpisce la stessa tecnologia entro sei settimane.
All’inizio di settembre, GreyNoise aveva avvertito di scansioni sospette che si erano verificate già alla fine di agosto, mirate ai dispositivi Cisco Adaptive Security Appliance (ASA). La prima ondata proveniva da oltre 25.100 indirizzi IP, principalmente situati in Brasile, Argentina e Stati Uniti. Successivamente, Cisco ha divulgato due nuove vulnerabilità zero-day in Cisco ASA (CVE-2025-20333 e CVE-2025-20362) che erano state sfruttate in attacchi reali per distribuire famiglie di malware come RayInitiator e LINE VIPER.
Considerazioni finali
Questa recente ondata di attività di scansione sui portali di login di Palo Alto Networks sottolinea l’importanza di mantenere aggiornati i sistemi di sicurezza e di monitorare costantemente le minacce emergenti. Sebbene Palo Alto Networks non abbia rilevato compromissioni, l’aumento delle attività di scansione potrebbe essere un segnale di potenziali vulnerabilità future. È essenziale che le aziende rimangano vigili e adottino misure proattive per proteggere le loro infrastrutture da possibili attacchi. La sicurezza informatica è un campo in continua evoluzione e richiede un’attenzione costante per prevenire e mitigare i rischi.
Fonte: The Hackers News