Pesquisadores de cibersegurança divulgaram detalhes de uma campanha em larga escala contra dispositivos de borda de rede expostos, como os firewalls Fortinet FortiGate e Palo Alto Networks GlobalProtect.
“Os vestígios encontrados durante esta investigação também indicam que os operadores da campanha obtiveram acesso a diversas organizações em todo o mundo e tentaram comprometer ainda mais algumas vítimas, estabelecendo acesso remoto persistente e exfiltrando dados”, afirma o relatório conjunto da Group-IB e da NyxLab.
A ampla atividade de exploração foi atribuída a um threat actor conhecido como k0t, que também usa os apelidos CryptoFeel, Member19 e QazWsxShop. O agente foi observado em atividade pela primeira vez em 22 de outubro de 2025.
A avaliação é que o threat actor tem ligações com grupos de ransomware como Qilin e The Gentlemen e atua, provavelmente, como intermediário de acesso inicial ou afiliado. Uma análise de suas atividades na dark web revela interesse em comprar códigos de exploit, ferramentas e contas premium em mecanismos de busca de metadados, como FOFA e ZoomEye.
As vítimas da campanha estão espalhadas pelo mundo e pertencem a diversos setores, o que reflete a seleção indiscriminada de dispositivos de rede expostos. Uma parcela significativa dos comprometimentos teria ocorrido entre fevereiro e junho de 2026, período que também coincide com outra campanha de coleta de credenciais, batizada de FortiBleed.
Quase 38% das vítimas estão na região da Ásia-Pacífico, seguida pela América Latina, com 31,9%; pela Europa, com 15,8%; e pelo Oriente Médio e Norte da África, com 12,7%.
A cadeia de ataque ocorre da seguinte forma:
- Os operadores fazem reconhecimento com ferramentas públicas de varredura, como FOFA e ZoomEye, para identificar dispositivos de VPN e firewall acessíveis pela internet. Em seguida, filtram os resultados por produto e montam listas de possíveis dispositivos de borda vulneráveis.
- Eles tentam explorar esses dispositivos por meio de vulnerabilidades conhecidas, como a
CVE-2025-64446
, uma falha de travessia de diretório no FortiWeb, e a
CVE-2026-0257
, uma falha que permite contornar a autenticação no PAN-OS e no Prisma Access, da Palo Alto Networks. Para isso, usam scripts próprios em Python, chamados “fortnew.py” e “exploit_2026_0257.py”. Também realizam ataques de força bruta com combinações comuns de nomes de usuário e senhas para obter acesso inicial.
- Os invasores estabelecem um ponto de apoio nos alvos por meio de uma conexão VPN do OpenConnect.
- Depois da invasão, realizam outras ações, roubam credenciais e identificam recursos do Active Directory, do SMB e soluções antivírus instaladas.
- Para manter o acesso aos sistemas, instalam ferramentas legítimas de acesso remoto, como MeshCentral Agent, Atera, Teramind e AnyDesk, além do framework de código aberto AdaptixC2, usado para simular adversários.
- Os dados coletados são exfiltrados com o Rclone para buckets S3 da Wasabi e unidades de armazenamento em nuvem da MEGA.
Os ataques também recorrem a ferramentas legítimas de administração e de teste de intrusão, como NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam e Mimikatz, para avançar pelas redes corporativas das vítimas.
“k0t parece escolher possíveis alvos ao identificar dispositivos de rede expostos em grande escala, em vez de pesquisar organizações específicas”, disseram pesquisadores da Group-IB e da NyxLab. “As prioridades geográficas declaradas começam pelos Estados Unidos e pelo Canadá, seguidos por países europeus e alguns mercados da Ásia-Pacífico.”
“Assim, o produto e a localização de um dispositivo exposto parecem ser mais importantes do que o setor da organização que o opera, o que é compatível com a ampla variedade de vítimas observada nesta campanha.”
As ligações de k0t com Qilin e The Gentlemen se baseiam no fato de que muitas vítimas da campanha apareceram posteriormente nos sites de vazamento de dados dos grupos de ransomware. No entanto, a natureza exata da relação entre o threat actor e essas quadrilhas ainda não está clara.
A Group-IB e a NyxLab também identificaram uma “sobreposição insignificante” entre os dados comprometidos nesta atividade e os da FortiBleed. Mais de 70 mil credenciais expostas, associadas a dispositivos de rede e a dumps de dados LDAP, foram relacionadas à campanha.
“Isso está de acordo com relatos de que muitos operadores provavelmente estão envolvidos no conjunto de atividades da FortiBleed. Isso sugere que os dados podem pertencer a um conjunto separado, a um grupo específico de operadores ou a uma operação de acesso relacionada, dentro da atividade mais ampla associada à FortiBleed”, disseram os pesquisadores. “As organizações devem corrigir as vulnerabilidades mencionadas neste relatório.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...