一场归因于威胁行为者 k0t 的大规模网络攻击活动已泄露超过 70,000 条凭据，加剧了人们对企业网络安全以及后续勒索软件攻击可能性的担忧。该行动针对全球企业使用的存在漏洞的防火墙和远程访问系统。

Group-IB 与 NyxLab 的网络安全研究人员于 2026 年 10 月 21 日披露了这些发现。他们的调查表明，攻击者在被入侵的网络中建立了持久访问权限，可能为勒索软件运营商创造了可乘之机。

攻击者如何入侵企业网络

k0t 攻击活动主要针对暴露于互联网的安全产品，包括 Fortinet FortiGate 防火墙、FortiWeb 系统以及 Palo Alto Networks GlobalProtect 网关。攻击者将密码攻击与利用已知安全漏洞相结合，其中包括影响 FortiWeb 的 CVE-2025-64446 和影响某些 GlobalProtect 配置的 CVE-2026-0257。

此类边界设备之所以成为有吸引力的目标，是因为它们直接面向公共互联网，而一旦单台设备被攻陷，就可能暴露整个组织的身份验证数据和目录记录。

进入系统后，攻击者提取了存储的凭据和目录信息。为了维持立足点，他们依赖 OpenConnect VPN 连接、远程管理软件以及 AdaptixC2 工具。研究人员识别出超过 70,000 条暴露的凭据及相关记录，但他们提醒，这一数字并不能证实每条凭据仍然有效，也不能证实每条凭据都导致了成功的入侵。

与勒索软件活动的可能关联

调查人员发现，部分受影响组织随后出现在与 Qilin 和 The Gentlemen 团伙关联的勒索软件泄露网站上。这一模式表明，k0t 可能充当初始访问代理，为其他犯罪集团获取未经授权的网络访问权限。然而，研究人员尚未证实该攻击活动与这些勒索软件运营商之间存在任何直接关系。这一区别非常重要，因为初始访问代理与执行加密和勒索的团伙通常是分开运作的，这也是研究人员将泄露网站上的出现视为有待验证的模式、而非已确认关联的原因。

调查还发现该活动与更早的 FortiBleed 攻击活动（涉及被泄露的 Fortinet 凭据）存在相似之处。尽管有这些相似之处，研究人员发现两份凭据数据集之间的重叠极小，无法确定是否为同一批操作者所为。不过，这一对比反映出防御方面的一个反复出现的担忧：针对广泛部署的边界设备的攻击浪潮一再上演。

金融与加密货币企业面临的风险上升

暴露的数据集显示，亚太地区占唯一域名的 37.6%，不过研究人员提醒，这种分布并不一定表明存在蓄意的区域性 targeting。

对于金融机构和加密货币企业而言，网络访问权限被攻陷会带来显著的运营风险。掌握特权凭据的攻击者可能触及敏感系统、中断服务或窃取机密信息。不过，调查人员尚未在 k0t 与任何加密货币盗窃事件之间建立直接联系。

安全专家建议为暴露的设备打补丁、限制管理访问权限、轮换被泄露的凭据，并审查可疑的 VPN 活动。具体 CVE 编号的披露为网络团队提供了具体的修复切入点。这些发现凸显了广泛部署的网络基础设施中的弱点如何为更大范围的网络犯罪打开大门。随着调查继续，凭据窃取与勒索软件活动之间疑似存在的联系仍是一个重要的未解难题，值得关注的细节是：是否会有更多受影响组织出现在泄露网站上，以及研究人员能否将 k0t 与特定勒索软件运营商直接关联起来。