Zakrojona na dużą skalę kampania cyberataków przypisywana aktorowi zagrożenia k0t doprowadziła do ujawnienia ponad 70 000 poświadczeń, wzmacniając obawy dotyczące bezpieczeństwa sieci korporacyjnych i możliwości kolejnych ataków ransomware. Operacja wymierzona była w podatne zapory sieciowe i systemy zdalnego dostępu wykorzystywane przez firmy na całym świecie.

Badacze ds. cyberbezpieczeństwa z Group-IB i NyxLab ujawnili wyniki śledztwa 21 października 2026 r. Ich dochodzenie wskazuje, że atakujący zapewnili sobie trwały dostęp do skompromitowanych sieci, potentially tworząc w ten sposób możliwości dla operatorów ransomware.

Jak atakujący przełamywali zabezpieczenia sieci korporacyjnych

Kampania k0t koncentrowała się na produktach zabezpieczających dostępnych z internetu, w tym na zaporach Fortinet FortiGate, systemach FortiWeb oraz bramach Palo Alto Networks GlobalProtect. Atakujący połączyli ataki na hasła z wykorzystaniem znanych luk w zabezpieczeniach, w tym CVE-2025-64446, dotyczącej FortiWeb, oraz CVE-2026-0257, dotyczącej niektórych konfiguracji GlobalProtect.

Urządzenia perymetryczne tego typu są atrakcyjnym celem, ponieważ mają bezpośredni dostęp do publicznego internetu, a pojedyncza kompromitacja może narazić dane uwierzytelniające i rekordy katalogowe w całej organizacji.

Po włamaniu operatorzy wyodrębnili zapisane poświadczenia oraz informacje katalogowe. Aby utrzymać pozycję w sieciach, korzystali z połączeń OpenConnect VPN, oprogramowania do zdalnego zarządzania oraz narzędzia AdaptixC2. Badacze zidentyfikowali ponad 70 000 ujawnionych poświadczeń i powiązanych rekordów, jednak zastrzegli, że liczba ta nie potwierdza, iż każde poświadczenie pozostało ważne ani że każde z nich doprowadziło do udanego włamania.

Możliwe powiązania z operacjami ransomware

Śledczy ustalili, że część poszkodowanych organizacji pojawiła się później na stronach wycieków ransomware powiązanych z grupami Qilin i The Gentlemen. Taki schemat suger, że k0t może działać jako pośrednik oferujący początkowy dostęp, uzyskując nieuprawniony dostęp do sieci w imieniu innych grup przestępczych. Badacze nie potwierdzili jednak żadnej bezpośredniej relacji między kampanią a tymi operatorami ransomware. To rozróżnienie ma znaczenie, ponieważ pośrednicy dostępowi i grupy przeprowadzające szyfrowanie oraz szantaż to zazwyczaj odrębne operacje — dlatego badacze traktują pojawianie się na stronach wycieków jako schemat wymagający weryfikacji, a nie potwierdzone powiązanie.

Śledztwo wykazało także podobieństwa do FortiBleed, wcześniejszej kampanii wykorzystującej skompromitowane poświadczenia Fortinet. Mimo tych paralel badacze stwierdzili minimalne nakładanie się obu zestawów poświadczeń i nie mogli ustalić, czy za obiema kampaniami stali ci sami operatorzy. Porównanie to odzwierciedla jednak powtarzające się zmartwienie obrońców: kolejne fale ataków na szeroko wdrożone urządzenia perymetryczne.

Instytucje finansowe i firmy kryptowalutowe w obliczu podwyższonego ryzyka

Z ujawnionego zbioru danych wynikało, że region Azji i Pacyfiku stanowił 37,6% unikalnych domen, choć badacze zastrzegli, że taki rozkład niekoniecznie oznacza celowe wymierzanie w ten region.

Dla instytucji finansowych i firm zajmujących się kryptowalutami skompromitowany dostęp do sieci wiąże się ze znaczącym ryzykiem operacyjnym. Atakujący posiadający uprzywilejowane poświadczenia mogą potencjalnie uzyskać dostęp do wrażliwych systemów, zakłócić działanie usług lub wykraść poufne informacje. Śledczy nie ustalili jednak bezpośredniego związku między k0t a jakąkolwiek kradzieżą kryptowalut.

Specjaliści ds. bezpieczeństwa zalecają aktualizowanie narażonych urządzeń, ograniczanie dostępu administracyjnego, wymianę skompromitowanych poświadczeń oraz analizę podejrzanej aktywności VPN. Ujawnienie konkretnych identyfikatorów CVE daje zespołom sieciowym konkretny punkt wyjścia do działań naprawczych. Wyniki śledztwa podkreślają, jak słabości powszechnie wdrażanej infrastruktury sieciowej mogą otworzyć drogę szerszej cyberprzestępczości. W miarę postępu dochodzenia podejrzewany związek między kradzieżą poświadczeń a operacjami ransomware pozostaje ważną, nierozwiązaną kwestią — a szczegóły, na które warto zwracać uwagę, to fakt, czy kolejne poszkodowane organizacje pojawią się na stronach wycieków oraz czy badacze będą w stanie bezpośrednio powiązać k0t z konkretnymi operatorami ransomware.