Кампания k0t: взлом корпоративных межсетевых экранов и утечка более 70 000 учётных данных

Group-IB совместно с NyxLab опубликовали расследование крупной кампании, нацеленной на доступные из интернета пограничные сетевые устройства — межсетевые экраны Fortinet FortiGate и шлюзы Palo Alto Networks GlobalProtect. По данным исследователей, операторы получили доступ к множеству организаций по всему миру, а в ряде случаев добились устойчивого удалённого доступа и выгрузки данных.

Активность приписывают злоумышленнику, известному под именем k0t (а также под псевдонимами CryptoFeel, Member19 и QazWsxShop). Впервые его заметили 22 октября 2025 года. Предполагается, что он связан с группами-вымогателями Qilin и The Gentlemen — вероятно, выступает как брокер первоначального доступа или аффилиат. На теневых форумах k0t проявлял интерес к покупке эксплойтов и премиум-аккаунтов поисковиков вроде FOFA и ZoomEye.

Как устроена атака

Жертвы разбросаны по всему миру и по самым разным отраслям — закономерное следствие неизбирательного подхода. Значительная часть компрометаций пришлась на период с февраля по июнь 2026 года, что пересекается с другой кампанией по сбору учётных данных под названием FortiBleed. Почти 38% пострадавших сосредоточены в Азиатско-Тихоокеанском регионе, 31,9% — в Латинской Америке, 15,8% — в Европе, 12,7% — на Ближнем Востоке и в Северной Африке.

Схема атаки выстроена методично. Сначала через публичные сканеры FOFA и ZoomEye составлялись списки уязвимых устройств. Затем применялись известные уязвимости — CVE-2025-64446 (обход каталога в FortiWeb) и CVE-2026-0257 (обход аутентификации в PAN-OS и Prisma Access) — с помощью самописных Python-скриптов «fortnew.py» и «exploit_2026_0257.py», либо перебор типовых логинов и паролей. Закрепившись через VPN-подключение OpenConnect, атакующий проводил разведку Active Directory, SMB и антивирусов.

Для устойчивого присутствия использовались легальные средства удалённого доступа (MeshCentral, Atera, Teramind, AnyDesk) и фреймворк для эмуляции атак AdaptixC2. Данные выгружались утилитой Rclone в облачные хранилища Wasabi S3 и MEGA. В ход шли и привычные администраторам инструменты — NetExec, Impacket, noPac, Kerbrute, PetitPotam, Mimikatz.

География и масштаб

По оценке исследователей, k0t выбирает цели, перечисляя доступные устройства массово, а не изучая конкретные организации. Заявленные приоритеты — США и Канада, затем страны Европы и отдельные рынки АТР. Таким образом, продукт и расположение устройства важнее, чем отрасль его владельца.

Связь с Qilin и The Gentlemen обусловлена тем, что многие жертвы позже появлялись на сайтах утечек этих группировок, однако точный характер отношений остаётся неясным. С кампанией FortiBleed совпадение скомпрометированных данных «незначительное». Всего в рамках операции выявлено более 70 000 учётных данных сетевых устройств и дампов LDAP. Организациям рекомендовано закрыть все перечисленные уязвимости.

Источник: The Hacker News