Pesquisadores da InfoGuard Labs revelaram uma vulnerabilidade crítica no recurso Live Terminal do Cortex XDR, da Palo Alto Networks, que permite a atacantes transformar a ferramenta legítima de resposta a incidentes em um canal de comando e controle (C2) silencioso e difícil de detectar. A falha, que permanece ativa mesmo após supostas correções anunciadas pelo fabricante, explora a confiança inerente ao agente de EDR para contornar mecanismos de segurança tradicionais.
O que mudou agora
Testes realizados em 23 de fevereiro de 2026, usando a versão 8.9.1 do Cortex XDR com as atualizações de conteúdo mais recentes, confirmaram que a exploração e o bypass de validação de host ainda funcionam integralmente. A Palo Alto Networks havia sido notificada dos achados em 30 de setembro de 2025 e afirmou que as versões 8.7 a 8.9 continham uma correção, mas a pesquisa atual demonstra que não há um fix real implementado.
Mecanismo da exploração
O Live Terminal é um recurso de gerenciamento remoto que permite às equipes de segurança executar comandos e scripts em endpoints a partir de um console central, comunicando-se via conexões WebSocket. A falha reside na ausência de assinatura criptográfica de comandos no protocolo subjacente. Qualquer atacante que intercepte a mensagem WebSocket inicial pode redirecionar a conexão do endpoint para um servidor sob seu controle.
Os pesquisadores identificaram duas técnicas principais de abuso:
- Ataque Cross-Tenant: O atacante usa seu próprio tenant do Cortex para gerar um token de sessão válido e redireciona o endpoint da vítima para se conectar ao tenant controlado pelo invasor.
- Servidor Personalizado: Criação de um servidor que replica o protocolo de comunicação WebSocket, exigindo pouco esforço de desenvolvimento com base no tráfego capturado.
Impacto e alcance
O impacto é grave para qualquer empresa que utilize o Cortex XDR. Uma vez com acesso inicial, um invasor pode usar essa técnica para manter controle persistente e oculto sobre endpoints comprometidos sem a necessidade de baixar ferramentas adicionais. O tráfego de rede gerado se mistura ao tráfego normal do agente Cortex e frequentemente é excluído da inspeção TLS, permitindo que comandos sejam emitidos, movimentação lateral ocorra e arquivos sejam coletados com mínimo ruído.
Falha na validação e recomendações
A análise do código decompilado do executável cortex-xdr-payload.exe revelou uma falha lógica na função run_lrc_payload. Ela verifica se o valor do servidor termina com .paloaltonetworks.com, mas executa essa verificação contra a string de URL completa, e não apenas contra o nome do host. Isso permite que uma URL manipulada como atacker.com/test.paloaltonetworks.com passe na verificação e se conecte a um servidor controlado pelo atacante.
Como mitigação imediata, as equipes de segurança devem monitorar eventos de criação de processo e sinalizar qualquer caso em que o cortex-xdr-payload.exe seja iniciado por um processo pai diferente do cyserver.exe legítimo. No entanto, os pesquisadores alertam que uma abordagem baseada apenas em detecção de processo pai não é suficiente. A arquitetura do recurso precisa de uma redesign segura por princípio, com autenticação mútua e assinatura criptográfica de comandos no nível do protocolo, para que esse tipo de abuso seja impossibilitado.