Angriffskampagne nimmt exponierte Firewalls und VPNs ins Visier
Group-IB und NyxLab haben eine groß angelegte Kampagne gegen exponierte Netzwerkgeräte untersucht. Im Mittelpunkt stehen Fortinet-FortiGate- und Palo-Alto-Networks-GlobalProtect-Firewalls. Die Angreifer verschafften sich laut der Untersuchung bei zahlreichen Organisationen weltweit Zugang, richteten teilweise dauerhaften Fernzugriff ein und exfiltrierten Daten.
Die Aktivität ist dem Bedrohungsakteur k0t zugeschrieben, der auch unter den Namen CryptoFeel, Member19 und QazWsxShop auftritt. Ein erheblicher Teil der beobachteten Kompromittierungen fand zwischen Februar und Juni 2026 statt. Die Opfer stammen aus unterschiedlichen Branchen und Regionen, weil die Angreifer nach exponierten Geräten suchten, statt einzelne Unternehmen gezielt auszuwählen.
Für den Erstzugang nutzten die Betreiber laut Untersuchung unter anderem CVE-2025-64446, eine Path-Traversal-Schwachstelle in FortiWeb, und CVE-2026-0257, eine Authentifizierungsumgehung in Palo Alto Networks PAN-OS und Prisma Access. Die Geräte wurden zunächst mit öffentlichen Such- und Scanwerkzeugen wie FOFA und ZoomEye erfasst. Anschließend kamen eigens benannte Python-Skripte oder Brute-Force-Versuche mit häufigen Benutzername-Passwort-Kombinationen zum Einsatz.
Nach dem Erstzugang bauten die Angreifer den Zugriff über OpenConnect-VPN-Verbindungen aus und suchten unter anderem nach Active-Directory- und SMB-Informationen sowie installierter Antivirensoftware. Für die Persistenz wurden legitime Fernwartungswerkzeuge wie MeshCentral Agent, Atera, Teramind und AnyDes sowie das Open-Source-Framework AdaptixC2 eingesetzt. Zur weiteren Bewegung in den Netzwerken kamen außerdem Administrator- und Pentest-Werkzeuge wie NetExec, Impacket, Kerbrute und Mimikatz zum Einsatz.
Die Untersuchung bringt mehr als 70.000 offengelegte Zugangsdaten im Zusammenhang mit Netzwerkgeräten und LDAP-Dumps mit der Kampagne in Verbindung. Daten wurden demnach mit Rclone in Wasabi-S3-Buckets und MEGA-Cloud-Laufwerke übertragen. Einige Opfer wurden später auf Datenleck-Seiten der Ransomware-Gruppen Qilin und The Gentlemen aufgeführt; die genaue Verbindung zwischen k0t und diesen Gruppen bleibt laut den Forschern jedoch unklar.
Für betroffene Unternehmen liegt der unmittelbare Prüfpunkt bei den internetseitig erreichbaren FortiWeb-, PAN-OS- und Prisma-Access-Systemen. Der Bericht empfiehlt ausdrücklich, die darin genannten Schwachstellen angemessen zu beheben. Darüber hinaus sollten Verantwortliche berücksichtigen, dass die Kampagne nicht auf eine bestimmte Branche begrenzt war, sondern die Erreichbarkeit und das Produkt des Netzwerkgeräts als Auswahlkriterien dienten.