Onderzoekers op het gebied van cybersecurity hebben details bekendgemaakt van een grootschalige campagne die zich richtte op blootgestelde netwerkrandapparaten, zoals Fortinet FortiGate- en Palo Alto Networks GlobalProtect-firewalls.
“Sporen uit dit onderzoek geven ook aan dat operatoren in deze campagne toegang hebben gekregen tot tal van organisaties wereldwijd, en hebben geprobeerd sommige slachtoffers verder te compromitteren, wat resulteerde in persistente externe toegang en datadiefstal,” aldus een gezamenlijke analyse gepubliceerd door Group-IB en NyxLab.
De wijdverspreide exploitatie-activiteiten worden toegeschreven aan een bedreigingsactor die bekendstaat als k0t, die ook de aliassen CryptoFeel, Member19 en QazWsxShop gebruikt. De cybercriminele actor werd voor het eerst in het wild waargenomen op 22 oktober 2025.
Er wordt beoordeeld dat de bedreigingsactor verbonden is met ransomwaregroepen zoals Qilin en The Gentlemen, waarschijnlijk opererend als initial access broker of als affiliate. Analyse van de activiteit van de actor op het dark web toont een sterke interesse in het kopen van exploitcode en tools voor kwetsbaarheden of premium accounts voor metadata-zoekmachines zoals FOFA en ZoomEye.
De slachtoffers van de campagne zijn wereldwijd en komen uit een breed scala aan sectoren, gezien de willekeurige targeting van blootgestelde netwerkapparaten. Een groot deel van de compromitteringen zou hebben plaatsgevonden tussen februari en juni 2026, wat ook overlapt met een andere credential harvesting-campagne met de codenaam FortiBleed.
Bijna 38% van de slachtoffers is geconcentreerd in de regio Azië-Pacific, gevolgd door 31.9% in Latijns-Amerika, 15.8% in Europa en 12.7% in het Midden-Oosten en Noord-Afrika.
De aanvalsketen verloopt als volgt:
- Voer verkenning uit met openbare scantools zoals FOFA en ZoomEye om internetgerichte VPN- en firewall-apparaten in kaart te brengen, kandidaten per product te filteren en doelwittenlijsten samen te stellen van mogelijk kwetsbare randapparaten.
- Proberen deze apparaten te exploiteren via bekende kwetsbaarheden zoals CVE-2025-64446 (een path traversal-fout in FortiWeb) en CVE-2026-0257 (een authentication bypass-fout in Palo Alto Networks PAN-OS en Prisma Access) met behulp van op maat gemaakte Python-scripts met de namen “fortnew.py” en “exploit_2026_0257.py”, of brute-force aanvallen uitvoeren met veelvoorkomende gebruikersnaam/wachtwoord-combinaties om initiële toegang te verkrijgen.
- Een voet aan de grond krijgen op de doelwitten via een OpenConnect VPN-verbinding.
- Post-exploitatieacties uitvoeren en aanvullende diefstal van referenties, zoals enumeratie van Active Directory, SMB en geïnstalleerde antivirusoplossingen.
- Persistente toegang op het hostsysteem vestigen via legitieme remote-accesstools zoals MeshCentral Agent, Atera, Teramind en AnyDes, evenals een open-source adversary-emulatieframework bekend als AdaptixC2.
- Geroofde data exfiltreren met Rclone naar Wasabi S3-buckets en MEGA-cloudschijven.
De aanvallen worden ook gekenmerkt door het gebruik van legitieme beheer- en pentesttools zoals NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam en Mimikatz om dieper in de netwerken van slachtoffers door te dringen.
“k0t lijkt potentiële doelwitten te selecteren door blootgestelde netwerkapparaten op schaal te enumereren in plaats van individuele organisaties te onderzoeken,” zeiden Group-IB- en NyxLab-onderzoekers. “Zijn aangegeven geografische prioriteiten beginnen met de Verenigde Staten en Canada, gevolgd door Europese landen en geselecteerde APAC-markten.”
“Het product en de locatie van een blootgesteld apparaat lijken daarom zwaarder te wegen dan de sector van de organisatie die het gebruikt, wat overeenkomt met de brede reeks slachtoffers die in deze campagne zijn waargenomen.”
De connecties van k0t met Qilin en The Gentlemen vloeien voort uit het feit dat veel slachtoffers van de campagne later ook door deze ransomwaregroepen op hun dataleksites werden vermeld. De precieze aard van de relatie tussen de actor en deze gangs is echter onduidelijk.
Bovendien zeiden Group-IB en NyxLab dat ze een “verwaarloosbare overlap” vonden in gecompromitteerde gegevens tussen deze activiteit en FortiBleed. Meer dan 70.000 blootgestelde inloggegevens gerelateerd aan netwerkapparaten en LDAP-dumps zijn geïdentificeerd in verband met de campagne.
“Dit komt overeen met rapporten dat veel operators waarschijnlijk betrokken zijn bij het FortiBleed-activiteitscluster, wat suggereert dat dit een aparte dataset, een subgroep van operators, of een gerelateerde toegangstoepassing binnen de bredere FortiBleed-gerelateerde activiteiten kan zijn,” zeiden de onderzoekers. “Organisaties worden geadviseerd maatregelen te nemen om ervoor te zorgen dat eventuele in dit rapport genoemde kwetsbaarheden adequaat worden verholpen.”
