Serangan tersebut pertama kali terdeteksi pada akhir November 2025 berfokus pada kerentanan gateway GlobalProtect, terutama yang diekspos ke publik via port UDP 4501. Merujuk informasi Shadowserver dan feed TI yang lain, sumber serangan berasal dari berbagai macam lokasi IP, utamanya adalah VPS yang telah diretas di benua Asia, Eropa dan Amerika Utara.

Attacker mengincar konfigurasi yang lemah (default credential) dan menggabungkannya dengan exploit yang sudah pernah terdeteksi seperti CVE-2024-3400 (kerentanan command injection). Kemudian menanam malware khusus untuk berkomunikasi ke server C2 sebagai mekanisme persistensi.

Portal Palo Alto GlobalProtect yang terekspos ke publik melalui port UDP 4501.

1. Terapkan multi-factor authentication (MFA).
2. Batasi eksposur portal melalui firewall (rubah default port UDP atau whitelist region IP yang bisa mengakses).
3. Selalu gunakan patch terbaru.
4. Monitor aktivitas beaconing ke server C2.