Eine groß angelegte Cyberangriffskampagne, die dem Bedrohungsakteur k0t zugeschrieben wird, hat mehr als 70.000 Zugangsdaten offengelegt und die Besorgnis über die Sicherheit von Unternehmensnetzwerken und das Potenzial nachfolgender Ransomware-Angriffe verschärft. Die Operation zielte auf verwundbare Firewalls und Fernzugriffssysteme ab, die von Unternehmen weltweit genutzt werden.

Cybersecurity-Forscher von Group-IB und NyxLab haben die Ergebnisse am 21. Oktober 2026 veröffentlicht. Ihre Untersuchung deutet darauf hin, dass die Angreifer dauerhaften Zugriff auf kompromittierte Netzwerke etablierten und dadurch potenziell Möglichkeiten für Ransomware-Betreiber schufen.

Wie Angreifer Unternehmensnetzwerke kompromittierten

Die k0t-Kampagne richtete sich gegen internetexponierte Sicherheitsprodukte, darunter Fortinet-FortiGate-Firewalls, FortiWeb-Systeme und Palo-Alto-Networks-GlobalProtect-Gateways. Die Angreifer kombinierten Passwortangriffe mit der Ausnutzung bekannter Sicherheitslücken, darunter CVE-2025-64446, das FortiWeb betrifft, und CVE-2026-0257, das bestimmte GlobalProtect-Konfigurationen betrifft.

Derartige Perimetergeräte sind attraktive Ziele, da sie dem öffentlichen Internet ausgesetzt sind, und eine einzige Kompromittierung kann gespeicherte Authentifizierungsdaten und Verzeichniseinträge in einer gesamten Organisation offenlegen.

Nach dem Eindringen extrahierten die Angreifer gespeicherte Zugangsdaten und Verzeichnisinformationen. Um ihren Zugriff aufrechtzuerhalten, nutzten sie OpenConnect-VPN-Verbindungen, Fernverwaltungssoftware und das Tool AdaptixC2. Die Forscher identifizierten mehr als 70.000 offengelegte Zugangsdaten und zugehörige Einträge, wiesen jedoch darauf hin, dass diese Zahl nicht bestätigt, dass jede Zugangsdaten weiterhin gültig war oder zu einem erfolgreichen Eindringen führte.

Mögliche Verbindungen zu Ransomware-Operationen

Die Ermittler stellten fest, dass einige betroffene Organisationen später auf Ransomware-Leak-Seiten erschienen, die mit den Gruppen Qilin und The Gentlemen in Verbindung gebracht werden. Das Muster deutet darauf hin, dass k0t als Initial-Access-Broker agieren könnte, der im Auftrag andererrimineller Gruppen unbefugten Netzwerkzugriff beschafft. Allerdings haben die Forscher keine direkte Beziehung zwischen der Kampagne und diesen Ransomware-Betreibern bestätigt. Diese Unterscheidung ist relevant, da Access-Broker und die Gruppen, die Verschlüsselung und Erpressung durchführen, typischerweise getrennte Operationen sind – weshalb die Forscher das Auftauchen auf Leak-Seiten als ein zu verifizierendes Muster und nicht als bestätigte Verbindung betrachten.

Die Untersuchung identifizierte auch Ähnlichkeiten mit FortiBleed, einer früheren Kampagne, die kompromittierte Fortinet-Zugangsdaten betraf. Trotz dieser Parallelen fanden die Forscher nur eine minimale Überschneidung zwischen den beiden Datensätzen und konnten nicht feststellen, ob dieselben Betreiber hinter beiden Kampagnen standen. Der Vergleich zeigt dennoch eine wiederkehrende Sorge für Verteidiger: wiederholte Angriffswellen gegen weit verbreitete Perimeter-Appliances.

Finanz- und Krypto-Unternehmen sehen sich erhöhtem Risiko gegenüber

Der offengelegte Datensatz zeigte, dass der asiatisch-pazifische Raum 37,6 % der eindeutigen Domains ausmachte, wobei die Forscher betonten, dass diese Verteilung nicht notwendigerweise auf eine gezielte regionale Auswahl hindeutet.

Für Finanzinstitute und Kryptowährungsunternehmen birgt kompromittierter Netzwerkzugriff ein erhebliches operatives Risiko. Angreifer mit privilegierten Zugangsdaten könnten potenziell auf sensible Systeme zugreifen, Dienste stören oder vertrauliche Informationen stehlen. Die Ermittler haben jedoch keine direkte Verbindung zwischen k0t und einem Kryptowährungsdiebstahl hergestellt.

Sicherheitsexperten empfehlen, exponierte Geräte zu patchen, administrativen Zugriff einzuschränken, kompromittierte Zugangsdaten zu rotieren und verdächtige VPN-Aktivitäten zu überprüfen. Die Offenlegung spezifischer CVE-Identifikatoren gibt Netzwerkteams einen konkreten Ausgangspunkt für die Behebung. Die Ergebnisse unterstreichen, wie Schwachstellen in weit verbreiteter Netzwerkinfrastruktur Tür und Tor für weitere Cyberkriminalität öffnen können. Während die Untersuchungen andauern, bleibt der vermutete Zusammenhang zwischen dem Diebstahl von Zugangsdaten und Ransomware-Operationen eine wichtige ungelöste Frage, und es bleibt abzuwarten, ob weitere betroffene Organisationen auf Leak-Seiten auftauchen und ob die Forscher k0t direkt mit bestimmten Ransomware-Betreibern in Verbindung bringen können.