Cybercriminelen hebben wereldwijd firewalls en VPN-apparaten van bedrijven aangevallen, met meer dan 70.000 gestolen inloggegevens als gevolg.
Onderzoekers hebben een grootschalige campagne onthuld waarbij hackers netwerkapparatuur aan de rand van bedrijfsnetwerken, zoals Fortinet FortiGate en Palo Alto Networks GlobalProtect firewalls, hebben aangevallen. Deze aanvallen leidden tot het verkrijgen van toegang tot tientallen organisaties wereldwijd en het stelen van meer dan 70.000 inloggegevens.
De campagne wordt toegeschreven aan een bedreigingsactor die bekendstaat onder de naam k0t, ook wel CryptoFeel, Member19 of QazWsxShop genoemd. Deze actor werd voor het eerst waargenomen in oktober 2025 en wordt vermoed banden te hebben met ransomwaregroepen zoals Qilin en The Gentlemen. k0t fungeert waarschijnlijk als een broker voor initiële toegang of als affiliate. Uit analyses van zijn activiteiten op het dark web blijkt dat hij interesse heeft in het aanschaffen van exploitcode en premium accounts voor metadata-zoekmachines zoals FOFA en ZoomEye.
De slachtoffers van deze campagne zijn verspreid over diverse sectoren en regio’s, waarbij bijna 38% zich in de Azië-Pacific bevindt, gevolgd door 31,9% in Latijns-Amerika, 15,8% in Europa en 12,7% in het Midden-Oosten en Noord-Afrika. De aanvallen vonden vooral plaats tussen februari en juni 2026, deels overlappend met een andere campagne gericht op credential harvesting, genaamd FortiBleed.
De aanvalsmethode begint met reconnaissance via publieke scan-tools om internetzichtbare VPN- en firewall-apparaten te identificeren. Vervolgens worden bekende kwetsbaarheden zoals CVE-2025-64446 (een path traversal-kwetsbaarheid in FortiWeb) en CVE-2026-0257 (een authenticatie-omzeilingsfout in Palo Alto Networks PAN-OS en Prisma Access) geëxploiteerd met aangepaste Python-scripts, of worden brute-force aanvallen uitgevoerd met veelgebruikte gebruikersnaam-wachtwoordcombinaties om initiële toegang te verkrijgen. Daarna wordt een OpenConnect VPN-verbinding opgezet om een voet tussen de deur te krijgen.
Na toegang worden post-exploitatieactiviteiten uitgevoerd, waaronder het verzamelen van Active Directory-gegevens, SMB-informatie en antivirusconfiguraties. Voor het handhaven van toegang worden legitieme remote access tools ingezet, zoals MeshCentral Agent, Atera, Teramind en AnyDesk, evenals het open-source framework AdaptixC2. De gestolen data wordt vervolgens via Rclone geëxfiltreerd naar Wasabi S3-buckets en MEGA cloudopslag.
De aanvallen kenmerken zich ook door het gebruik van legitieme beheerders- en pentestingtools zoals NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam en Mimikatz om dieper in de netwerken van slachtoffers door te dringen. Onderzoekers van Group-IB en NyxLab stellen dat k0t zich vooral richt op het grootschalig scannen van kwetsbare netwerkapparaten, waarbij product en locatie belangrijker zijn dan de sector van het getroffen bedrijf. De prioriteit ligt bij de Verenigde Staten en Canada, gevolgd door Europese landen en geselecteerde markten in de Azië-Pacific.
Hoewel veel slachtoffers van deze campagne later ook op de dataleksites van ransomwaregroepen Qilin en The Gentlemen werden vermeld, blijft de precieze relatie tussen k0t en deze groepen onduidelijk. Uit het onderzoek blijkt bovendien dat er nauwelijks overlap is met andere gecompromitteerde data.
