Campania k0t vizează FortiGate, FortiWeb și GlobalProtect pentru a fura credențiale

Firewall-urile și gateway-urile VPN expuse pe internet sunt, din nou, poarta de intrare. Group-IB, împreună cu NyxLab, a documentat o campanie atribuită unui operator cunoscut ca k0t, care atacă echipamentele Fortinet FortiGate și FortiWeb și portalurile Palo Alto Networks GlobalProtect cu un scop clar: extragerea credențialelor din echipamentul de margine și folosirea lor pentru a pătrunde mai adânc în rețeaua companiei.

Ce s-a întâmplat

Abordarea este oportunistă și la scară largă. Atacatorii folosesc servicii publice de scanare a internetului pentru a construi liste de portaluri VPN și firewall-uri expuse, apoi le iau pe rând în căutarea unei breșe:

FortiWeb – exploatarea CVE-2025-64446, o vulnerabilitate de tip path traversal / control de acces deficitar care permite unui atacator neautentificat să execute acțiuni administrative prin cereri special construite. Cercetătorii au observat un instrument dedicat care o folosea pentru a crea un nou cont de administrator.
FortiGate – nu este afectat de vulnerabilitatea FortiWeb; aici atacatorii încearcă combinații uzuale de utilizator și parolă (brute force).
GlobalProtect – încercări de exploatare a CVE-2026-0257, un bypass de autentificare care, în anumite configurații PAN-OS, poate permite o conexiune VPN neautorizată.

Odată ajunși pe un FortiGate, atacatorii pot exporta fișierul de configurare și pot recupera secretele stocate în el, inclusiv credențiale de administrator și conturi de serviciu LDAP / Active Directory. Potrivit Group-IB, o cheie de criptare implicită, cunoscută public, a fost folosită pentru a decripta o parte dintre aceste secrete.

Investigația a numărat peste 70.000 de credențiale expuse și date asociate, inclusiv date de autentificare pentru echipamente de rețea și înregistrări LDAP. Cercetătorii subliniază că cifra nu înseamnă că fiecare credențial a dus la o compromitere reușită.

După obținerea accesului

Cu credențiale valide și acces VPN, intrușii se bazează pe instrumente întâlnite și în munca IT obișnuită: NetExec, Impacket și Mimikatz pentru recunoaștere și furt de credențiale, plus software de administrare la distanță precum MeshCentral și Atera pentru persistență. Un singur server MeshCentral a fost legat de 28 de grupuri active de dispozitive și 84 de sisteme compromise. În unele cazuri, datele au fost copiate în cloud cu Rclone.

Unele victime au apărut ulterior pe site-uri de scurgeri ale grupărilor ransomware. Group-IB nu a confirmat că k0t este afiliat direct acestor grupări, așa că orice legătură rămâne nedovedită.

De ce contează

Echipamentele de margine țin cheile a tot ce se află în spatele lor. O configurație FortiGate furată nu este doar o problemă a echipamentului – poate expune credențiale de domeniu care rămân valide mult după ce vulnerabilitatea inițială a fost corectată. Iar pentru că instrumentele folosite ulterior arată ca activitate administrativă normală, analiza evenimentelor izolat le ratează adesea.

Ce trebuie făcut

Inventariați perimetrul. Verificați ce interfețe FortiGate, FortiWeb și GlobalProtect sunt accesibile din internet și restricționați interfețele de management la rețele de încredere.
Aplicați patch-urile. Instalați corecția Fortinet pentru CVE-2025-64446 și urmați recomandările Palo Alto Networks pentru CVE-2026-0257.
Căutați urme de acces. Conturi de administrator neașteptate, exporturi de configurație, sesiuni VPN neobișnuite, serii de autentificări eșuate și accesări de management din locații necunoscute.
Tratați o configurație expusă ca pe o scurgere de parole. Dacă un echipament ar fi putut fi accesat, schimbați toate credențialele stocate în el sau legate de el – în special conturile de serviciu LDAP/AD – și analizați jurnalele VPN și de identitate.
Folosiți propria cheie de criptare. Pe FortiGate, verificați că private-data encryption este activată cu o cheie controlată de organizație, nu cu cea implicită.
Atenție la instrumentele „legitime”. Semnalați agenți MeshCentral, Atera sau alte RMM-uri și transferuri Rclone pe care nu le-ați instalat voi. Cercetătorii au publicat indicatori de compromitere; încărcați-i în SIEM – dar rețineți că lipsa unei potriviri nu dovedește că rețeaua este curată.

Astfel de campanii încep cu o întrebare simplă: ce echipamente de-ale voastre poate vedea un atacator din internet? Exact la această întrebare răspunde continuu serviciul nostru de Attack Surface Management – identifică portalurile VPN, firewall-urile și interfețele de administrare expuse și semnalează versiunile vulnerabile înainte ca scanerul altcuiva să le găsească.

Sursă: acest rezumat are la bază articolul publicat de Cyber Security News pe marginea cercetării Group-IB și NyxLab (raport din 21 octombrie 2026).