← Все новости

Безопасность ·

Брокер доступа k0t взломал FortiGate и GlobalProtect и собрал более 70 000 учётных данныхAccess broker k0t breached FortiGate and GlobalProtect devices, collecting 70,000+ credentials

Group-IB и NyxLab описали кампанию против пограничных сетевых устройств, связанную с вымогателями Qilin и The Gentlemen. Большинство взломов пришлось на февраль–июнь 2026 года, больше всего жертв — в Азиатско-Тихоокеанском регионе и Латинской Америке.Group-IB and NyxLab detailed a campaign against network edge devices linked to the Qilin and The Gentlemen ransomware groups. Most compromises happened between February and June 2026, with most victims in Asia-Pacific and Latin America.

Group-IB и NyxLab опубликовали совместное расследование активности злоумышленника k0t (он же CryptoFeel, Member19, QazWsxShop).

Что выяснили

  • Целями были пограничные устройства: межсетевые экраны Fortinet FortiGate, шлюзы Palo Alto GlobalProtect и другие открытые в интернет сетевые устройства.
  • Среди использованных уязвимостей — CVE-2025-64446 (path traversal в FortiWeb) и CVE-2026-0257 (обход аутентификации в PAN-OS и Prisma Access).
  • Собрано более 70 000 учётных данных — из конфигураций устройств и дампов LDAP.
  • Жертвы: около 38% — Азиатско-Тихоокеанский регион, 31,9% — Латинская Америка, 15,8% — Европа, 12,7% — Ближний Восток и Северная Африка. Основная часть взломов — февраль–июнь 2026 года; сам актор впервые замечен в октябре 2025-го.
  • k0t связывают с группами Qilin и The Gentlemen — вероятно, как брокера начального доступа или аффилиата; точный характер связи не ясен.
  • С масштабной кампанией FortiBleed пересечение по данным минимальное: исследователи допускают, что это отдельный набор данных или подмножество операторов.

Что делать

Пограничные устройства остаются главной точкой входа для вымогателей. Стоит проверить, что FortiWeb, PAN-OS и Prisma Access обновлены, а после обновления — сменить учётные данные, которые хранились на устройствах или проходили через LDAP-интеграцию: патч не отзывает уже украденные пароли. Полезно также проверить журналы VPN на входы с необычных адресов за весь 2026 год.

Group-IB and NyxLab published a joint investigation into a threat actor called k0t (also CryptoFeel, Member19, QazWsxShop).

Findings

  • Targets were edge devices: Fortinet FortiGate firewalls, Palo Alto GlobalProtect gateways and other internet-facing network gear.
  • Exploited flaws include CVE-2025-64446 (path traversal in FortiWeb) and CVE-2026-0257 (authentication bypass in PAN-OS and Prisma Access).
  • More than 70,000 credentials were collected — from device configurations and LDAP dumps.
  • Victims: about 38% in Asia-Pacific, 31.9% in Latin America, 15.8% in Europe and 12.7% in the Middle East and North Africa. Most compromises happened between February and June 2026; the actor was first seen in October 2025.
  • k0t is linked to the Qilin and The Gentlemen groups — likely as an initial access broker or affiliate; the exact relationship is unclear.
  • Overlap with the large FortiBleed campaign is negligible: researchers suggest it may be a separate dataset or operator subset.

What to do

Edge devices remain the main entry point for ransomware. Make sure FortiWeb, PAN-OS and Prisma Access are patched, then rotate credentials stored on the devices or passing through LDAP integration — a patch does not revoke passwords already stolen. It is also worth reviewing VPN logs for logins from unusual addresses across all of 2026.

Источники