Vorbește cu un expert
PrețuriNoutățiVorbește cu un expert
Înapoi la Noutăți
Amenințări

Campania k0t lovește echipamente Fortinet și Palo Alto: peste 70.000 de credențiale expuse

Un actor de amenințare numit k0t exploatează în masă echipamente FortiGate, FortiWeb și GlobalProtect expuse pentru a pătrunde în rețele corporative din întreaga lume, cu legături către ransomware-ul Qilin și The Gentlemen.

4T4Tify Team4Tify
Oct 24, 2026·5 min citire
Campania k0t lovește echipamente Fortinet și Palo Alto: peste 70.000 de credențiale expuse

Campania k0t lovește echipamente Fortinet și Palo Alto: peste 70.000 de credențiale expuse

Un actor de amenințare cu motivație financiară, urmărit sub numele k0t, a compromis sistematic în ultimul an firewall-uri și gateway-uri VPN expuse la internet — în special Fortinet FortiGate/FortiWeb și Palo Alto Networks GlobalProtect — transformând acest acces în compromiterea completă a rețelelor corporative. Investigatorii au legat de operațiune peste 70.000 de credențiale expuse, alături de date de configurare ale echipamentelor de rețea și extrageri LDAP.

Ce s-a întâmplat

Concluziile provin dintr-o investigație comună Group-IB și NyxLab. Actorul, cunoscut și ca CryptoFeel, Member19 și QazWsxShop, a fost observat pentru prima dată pe 22 octombrie 2025. Abordarea este oportunistă: k0t își alege victimele după echipamentul expus, nu după identitatea organizației.

Lanțul de atac descris de cercetători:

  1. Recunoaștere în masă — motoare de căutare precum FOFA și ZoomEye sunt folosite pentru a lista echipamentele VPN și firewall expuse, filtrate pe produs.
  2. Acces inițial — exploatarea unor vulnerabilități cunoscute prin scripturi Python dedicate, în special CVE-2025-64446 (path traversal în FortiWeb) și CVE-2026-0257 (ocolirea autentificării în PAN-OS GlobalProtect și Prisma Access). Acolo unde nu există o vulnerabilitate, actorul încearcă atacuri de tip brute-force cu nume de utilizator și parole comune.
  3. Punct de sprijin — o sesiune OpenConnect VPN în rețeaua victimei.
  4. Explorare și furt de credențiale — enumerarea Active Directory, a share-urilor SMB și a soluțiilor de securitate instalate, cu utilitare uzuale de administrare/pentest (NetExec, Impacket, Kerbrute, noPac, PetitPotam, Mimikatz și altele).
  5. Persistență — instrumente legitime de administrare la distanță (MeshCentral, Atera, AnyDesk, Teramind) și framework-ul open-source AdaptixC2.
  6. Exfiltrare — date transferate cu Rclone către bucket-uri Wasabi S3 și MEGA.

Victimele provin din numeroase sectoare. Aproximativ 38% sunt în Asia-Pacific, circa 32% în America Latină, aproape 16% în Europa și aproximativ 13% în Orientul Mijlociu și Africa de Nord. O mare parte a activității a avut loc între februarie și iunie 2026.

De ce contează

Investigatorii apreciază că k0t are legături cu operațiunile ransomware Qilin și The Gentlemen — mai multe victime k0t au apărut ulterior pe site-urile de scurgeri ale acestor grupări — și că ar putea acționa ca broker de acces inițial sau ca afiliat. Natura exactă a relației nu a fost confirmată, iar cercetătorii au găsit doar o suprapunere neglijabilă cu activitatea separată de colectare de credențiale FortiBleed din aceeași perioadă.

Lecția este simplă: dacă un echipament de perimetru vulnerabil sau slab protejat este vizibil din internet, sunteți deja pe lista cuiva. Industria și dimensiunea companiei contează prea puțin.

Ce trebuie făcut

  • Actualizați întâi echipamentele de perimetru. Verificați că FortiWeb este corectat pentru CVE-2025-64446, iar PAN-OS / GlobalProtect / Prisma Access pentru CVE-2026-0257. Tratați orice echipament expus cât timp nu era actualizat ca potențial compromis.
  • Renunțați la accesul VPN doar cu parolă. Impuneți MFA pentru orice autentificare VPN și de administrare a firewall-ului, dezactivați conturile implicite și partajate și monitorizați tentativele de brute-force.
  • Schimbați credențialele asociate echipamentelor de rețea și serviciilor de director, mai ales dacă configurațiile sau datele LDAP ar fi putut fi citite.
  • Căutați urmele setului de instrumente. Sesiuni OpenConnect neașteptate, instrumente RMM neaprobate (MeshCentral, Atera, AnyDesk, Teramind), artefacte AdaptixC2 și trafic Rclone către Wasabi sau MEGA.
  • Restricționați interfețele de administrare astfel încât portalurile de admin să nu fie niciodată accesibile din internet.

Atacatorii pornesc de la aceeași imagine pe care o are orice persoană din exterior: ce expune organizația dumneavoastră online. Serviciul nostru de Attack Surface Management cartografiază continuu această imagine — VPN-uri, firewall-uri și portaluri de administrare expuse, versiunile lor și CVE-urile cunoscute — astfel încât un gateway vulnerabil să fie semnalat echipei dumneavoastră înainte să ajungă pe lista altcuiva.

Articol bazat pe cercetarea Group-IB și NyxLab, relatată de The Hacker News.

DISTRIBUIE