Kampanja k0t izložila 70.000 naloga sa Fortinet i Palo Alto uređaja

Istraživači Group-IB i NyxLab opisali su kampanju koja je gađala javno izložene Fortinet FortiGate i Palo Alto GlobalProtect zaštitne zidove. Aktivnost pripisuju akteru k0t, koji je prvi put primećen 22. oktobra 2025. i povezuje se s ransomver grupama Qilin i The Gentlemen.

Napadači koriste javne alate FOFA i ZoomEye da pronađu izložene VPN i zaštitne zidove, a zatim ih preuzimaju pomoću poznatih ranjivosti CVE-2025-64446 u FortiWeb-u i CVE-2026-0257 u PAN-OS i Prisma Access ili slabih lozinki. Nakon upada postavljaju alate za trajni daljinski pristup i izvlače podatke. Žrtve su globalne: 38% u Aziji i Pacifiku, 31,9% u Latinskoj Americi, 15,8% u Evropi i 12,7% na Bliskom istoku i u severnoj Africi. Najveći deo preuzimanja dogodio se između februara i juna 2026. i preklapa se s kampanjom FortiBleed. Uz kampanju je povezano više od 70.000 podataka za prijavu s mrežnih uređaja i LDAP izvoda.

Proizvođači i istraživači savetuju da se pomenute ranjivosti zatvore.

Šta uraditi

• Sa interneta ukloniti administrativne interfejse za FortiGate, GlobalProtect i FortiWeb, ili ih ograničiti po IP adresama.
• Ažurirati pomenute proizvode i proveriti da li su CVE-2025-64446 i CVE-2026-0257 zatvorene.
• Promeniti lozinke za nalaze povezane s izloženim uređajima i LDAP nalozima.
• Pregledati evidencije radi neodobrenih OpenConnect veza i alata za daljinski pristup MeshCentral, Atera, Teramind i AnyDes.