文章总结： PaloAltoNetworks的GlobalProtectVPN门户网站在2025年11月14日至19日期间遭受了230万次恶意扫描探测，活动在24小时内激增40倍。GreyNoise情报公司发现这些扫描与之前活动相关，主要使用AS200373和AS208885两个ASN，主要针对美国、墨西哥和巴基斯坦。扫描高峰通常预示着新的安全漏洞披露，建议组织积极阻止这些探测而非忽视。PaloAltoNetworks表示未发现入侵证据，其CortexXSIAM平台每天可阻止150万次新攻击。
综合评分： null
文章分类： 威胁情报,漏洞预警,网络安全,漏洞分析,应急响应
Palo Alto 的 GlobalProtect VPN门户网站遭到230万次恶意扫描探测
Rhinoer
犀牛安全
2025年11月24日 15:40
北京
针对 Palo Alto Networks GlobalProtect VPN 登录门户的恶意扫描活动在 24 小时内增加了 40 倍，这表明存在有组织的攻击活动。
实时情报公司 GreyNoise 报告称，该活动从 11 月 14 日开始攀升，并在一周内达到 90 天以来的最高水平。GreyNoise 发现针对 Palo Alto Networks GlobalProtect 门户的恶意活动显著升级。
从 2025 年 11 月 14 日开始，活动迅速加剧，并在 24 小时内激增 40 倍，创下 90 天以来的新高。
2025 年10 月初，GreyNoise 报告称，扫描 Palo Alto Networks GlobalProtect 和 PAN-OS 配置文件的 IP 地址增加了 500%，其中 91% 被归类为“可疑”，另有 7% 被明确归类为恶意。
此前，在 2025 年 4 月，GreyNoise 报告称，针对 Palo Alto Networks GlobalProtect 登录门户的扫描活动再次激增，涉及24,000 个 IP 地址，其中大部分被归类为可疑，154 个被归类为恶意。
GreyNoise 非常有信心地认为，最新的活动与之前的相关活动有关，依据是重复出现的 TCP/JA4t 指纹、相同 ASN（自治系统编号）的重复使用以及活动高峰在各个活动中的一致时间。
这些攻击中使用的主要ASN被确认为AS200373（3xK Tech GmbH），其中62%的IP地址位于德国，15%位于加拿大。参与此次活动的第二个ASN是AS208885（Noyobzoda Faridduni Saidilhom）。
针对 VPN 登录
11 月 14 日至 19 日期间，GreyNoise 观察到Palo Alto PAN-OS 和 GlobalProtect 上的*/global-protect/login.esp URI访问次数达到 230 万次。
该 URI 对应于运行 GlobalProtect 的 Palo Alto Networks 防火墙公开的 Web 端点，并显示 VPN 用户可以进行身份验证的页面。
登录尝试主要针对美国、墨西哥和巴基斯坦，这三个国家的尝试次数大致相同。
GreyNoise此前曾强调，应该阻止这些尝试，并积极将其作为恶意探测进行跟踪，而不是将其视为针对早已修复的漏洞的失败攻击尝试而置之不理。
该公司统计数据显示，在 80% 的情况下，这些扫描高峰通常先于新的安全漏洞的披露，而 Palo Alto Networks 的产品的相关性甚至更强。
关于 Palo Alto Networks 今年的恶意活动，2 月份发生了两起利用漏洞的活跃案例，分别是 CVE-2025-0108，后来又与CVE-2025-0111 和 CVE-2024-9474相关联。
2025 年 9 月，Palo Alto Networks 还披露了一起数据泄露事件，该事件暴露了客户数据和支持案例，这是 ShinyHunters 的 Salesloft Drift 活动的一部分。
Palo Alto Networks 在给 BleepingComputer 的一份声明中表示，他们调查了 GreyNoise 报告的扫描活动，但没有发现任何入侵的证据。
Palo Alto Networks 该公司表示：受益于我们自己的 Cortex XSIAM 平台的保护，该平台每天可阻止 150 万次新的攻击，并自动将 360 亿个安全事件简化为最关键的威胁，以确保我们的基础设施保持安全。
信息来源： BleepingComputer
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：犀牛安全 Rhinoer《Palo Alto 的 GlobalProtect VPN门户网站遭到230万次恶意扫描探测》