Совместное расследование Group-IB и NyxLab описывает крупную кампанию против корпоративных межсетевых экранов и VPN-шлюзов. Исследователи связали наблюдаемую активность с оператором, которого называют k0t, и обнаружили более 70 тысяч записей раскрытых учетных данных и связанных материалов, включая дампы LDAP. В выборку попали Fortinet FortiGate, FortiWeb и Palo Alto GlobalProtect. Отчет Group-IB опубликован 21 октября 2026 года, но исследуемые вторжения происходили в том числе с февраля по июнь.
Число 70 тысяч в этой истории легко неправильно прочитать. Речь идет о совокупности учетных данных и записей, а не о 70 тысячах доказанно взломанных компаний или отдельных людях. Исследователи смогли проверить принадлежность лишь части найденных идентификаторов организациям. При этом по отдельным сетям зафиксированы дальнейшие действия после первоначального проникновения: исследование внутренних ресурсов, получение дополнительных полномочий и передача данных наружу.
Почему целью стали VPN и межсетевые экраны
Сетевые шлюзы находятся на границе корпоративной инфраструктуры и поэтому доступны из интернета. Они должны фильтровать опасный трафик, однако их административные панели, службы VPN и механизмы аутентификации тоже содержат ошибки и зависят от качества настройки. Получив учетную запись или возможность управлять таким устройством, атакующий может оказаться внутри сети на правах, похожих на разрешенные пользователю. В дальнейшем инцидент выходит далеко за пределы одного сервера управления.
В расследовании описаны попытки перебора учетных данных FortiGate и эксплуатация известных уязвимостей в FortiWeb и GlobalProtect, в том числе CVE-2025-64446 и CVE-2026-0257. Это не открытие нового универсального zero-day, способного взломать любой современный межсетевой экран. Риск складывается из публичной доступности интерфейсов, устаревших сборок, повторно используемых паролей и оставшихся после прежних инцидентов учетных записей.
Как атакующие закреплялись после входа
Следы активности k0t не ограничивались проверкой доступности шлюзов. Исследователи наблюдали установку средств удаленного администрирования и соединения через VPN-клиент OpenConnect, а также поиск учетных записей и прав в Active Directory. Подобные инструменты могут использовать и законные администраторы, поэтому само их наличие не доказывает нападение. Важнее несвойственный пользователю адрес подключения, время запуска, неизвестный владелец задания и последовательность операций.
В отдельных подтвержденных эпизодах злоумышленники передавали файлы через Rclone в облачные хранилища. При этом отчет не утверждает, что каждый обнаруженный сетевой доступ был использован для вывоза данных. Для расследования корпоративного инцидента важны журналы шлюза, связанные VPN-сеансы, изменения локальных администраторов и события на внутренних контроллерах домена. Проверка только обновлений самого фаервола не покажет, какие действия уже были выполнены после входа.
Связь с вымогателями пока остается гипотезой
Некоторые организации, замеченные в материалах k0t, позднее появлялись на сайтах публикации данных групп Qilin и The Gentlemen. Исследователи рассматривают возможность работы оператора как продавца первоначального доступа — посредника, который получает контроль над корпоративными системами и затем передает его другим преступникам. Однако прямую связь между k0t и конкретными группами вымогателей расследование пока не доказало.
Аналитики также сравнили находку с более ранним кластером FortiBleed. Пересечение массивов учетных данных оказалось незначительным, хотя методы и временные рамки частично похожи. Поэтому преждевременно считать обе кампании делом одной команды. Материал AnonHaven о краже паролей помогает понять, как похищенные доступы превращаются в последующие атаки даже после обновления уязвимого устройства.
Вопросы и ответы (FAQ)
70 тысяч — это число взломанных компаний?
Нет. Исследователи насчитали более 70 тысяч записей учетных данных и связанных материалов, часть которых могла принадлежать одним и тем же организациям.
Какие устройства атаковали?
Fortinet FortiGate и FortiWeb, а также Palo Alto GlobalProtect.
Нашли ли новый zero-day?
Отчет описывает перебор паролей и известные уязвимости, не подтверждая новый нулевой день для всех устройств.
Связана ли k0t с Qilin?
Исследователи допускают такую связь по косвенным признакам, но прямое подтверждение отсутствует.
Какое последствие уже наблюдали?
В части сетей зафиксированы удаленное управление, действия с учетными записями и передача файлов в облачные хранилища.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
