Масштабная кампания кибератак, приписываемая угрозе k0t, привела к раскрытию более 70 000 учетных данных, усиливая обеспокоенность по поводу безопасности корпоративных сетей и вероятности последующих атак программ-вымогателей. Операция была направлена на уязвимые межсетевые экраны и системы удаленного доступа, используемые компаниями по всему миру.

Исследователи в области кибербезопасности из Group-IB и NyxLab раскрыли эти данные 21 октября 2026 года. Их расследование показывает, что злоумышленники закрепили постоянный доступ к скомпрометированным сетям, потенциально создавая возможности для операторов программ-вымогателей.

Как злоумышленники взламывали корпоративные сети

Кампания k0t была направлена на доступные из интернета продукты безопасности, включая межсетевые экраны Fortinet FortiGate, системы FortiWeb и шлюзы Palo Alto Networks GlobalProtect. Злоумышленники сочетали атаки на пароли с эксплуатацией известных уязвимостей, в том числе CVE-2025-64446, затрагивающей FortiWeb, и CVE-2026-0257, затрагивающей некоторые конфигурации GlobalProtect.

Подобные периметровые устройства являются привлекательными целями, поскольку они выходят в публичный интернет, и единственная компрометация может раскрыть сохраненные данные аутентификации и записи каталога по всей организации.

Оказавшись внутри, злоумышленники извлекали сохраненные учетные данные и информацию каталога. Для закрепления в системе они использовали подключения OpenConnect VPN, программное обеспечение удаленного управления и инструмент AdaptixC2. Исследователи выявили более 70 000 раскрытых учетных данных и связанных записей, однако предупредили, что эта цифра не подтверждает, что все учетные данные оставались действительными или что каждый из них привел к успешному проникновению.

Возможные связи с операциями программ-вымогателей

Расследователи обнаружили, что некоторые пострадавшие организации позже появились на сайтах утечек программ-вымогателей, связанных с группировками Qilin и The Gentlemen. Эта закономерность позволяет предположить, что k0t может действовать как брокер первоначального доступа, получая несанкционированный доступ к сетям для других преступных групп. Однако исследователи не подтвердили прямой связи между кампанией и этими операторами программ-вымогателей. Это различие важно, поскольку брокеры доступа и группы, осуществляющие шифрование и вымогательство, как правило, являются отдельными структурами, поэтому исследователи рассматривают появления на сайтах утечек как закономерность, требующую проверки, а не как подтвержденную связь.

Расследование также выявило сходство с FortiBleed — более ранней кампанией с использованием скомпрометированных учетных данных Fortinet. Несмотря на эти параллели, исследователи обнаружили минимальное пересечение между двумя наборами учетных данных и не смогли установить, стояли ли за обеими кампаниями одни и те же злоумышленники. Тем не менее это сравнение отражает повторяющуюся проблему для защитников: повторяющиеся волны атак на широко распространенное периметровое оборудование.

Финансовые и криптовалютные компании сталкиваются с повышенным риском

В раскрытом наборе данных Азиатско-Тихоокеанский регион составил 37,6% уникальных доменов, хотя исследователиредили, что такое распределение не обязательно указывает на целенаправленное региональное воздействие.

Для финансовых учреждений и криптовалютных компаний скомпрометированный сетевой доступ несет значительный операционный риск. Злоумышленники, получившие привилегированные учетные данные, потенциально могут получить доступ к чувствительным системам, нарушить работу сервисов или похитить конфиденциальную информацию. Однако расследователи не установили прямой связи между k0t и какой-либо кражей криптовалюты.

Специалисты по безопасности рекомендуют устанавливать обновления на раскрытые устройства, ограничивать административный доступ, менять скомпрометированные учетные данные и проверять подозрительную активность VPN. Раскрытие конкретных идентификаторов CVE дает сетевым командам конкретную отправную точку для устранения уязвимостей. Эти результаты подчеркивают, как уязвимости в широко распространенной сетевой инфраструктуре могут открывать путь к более масштабной киберпреступности. Поскольку расследование продолжается, предполагаемая связь между кражей учетных данных и операциями программ-вымогателей остается важной нерешенной проблемой, а за деталями стоит следить: появятся ли новые пострадавшие организации на сайтах утечек и смогут ли исследователи напрямую связать k0t с конкретными операторами программ-вымогателей.