Açık ağ kenarı cihazlarında k0t kampanyası: 70.000'den fazla kimlik bilgisi

Group-IB ve NyxLab'in ortak araştırmasına göre k0t, açıkta kalan Fortinet FortiGate ve Palo Alto Networks GlobalProtect güvenlik duvarlarını hedef alan geniş kapsamlı bir kampanya yürüttü. Operatörler dünya genelinde çok sayıda kuruma erişti; bazı mağdurlarda kalıcı uzak erişim kuruldu ve veri çalma girişiminde bulunuldu.

Aktör ve bağlantılar

Operatör k0t; CryptoFeel, Member19 ve QazWsxShop takma adlarıyla da biliniyor. İlk kez 22 Ekim 2025'te görüldü. Araştırmacılar, k0t'nin Qilin ve The Gentlemen gibi fidye yazılımı gruplarıyla bağlantıları olduğunu ve başlangıç erişimi aracısı ya da gruba bağlı üye olarak çalışabileceğini değerlendiriyor. Karanlık web etkinlikleri, sömürü kodu ve araç satın alma ile FOFA ve ZoomEye gibi meta veri arama motorlarının premium hesaplarına ilgi gösteriyor. Kampanyanın mağdurlarından bazıları daha sonra fidye yazılımı gruplarının veri sızıntı sitelerinde listelendi; ancak bağlantının niteliği net değil.

Hedef seçimi

Hedef seçimi kurum sektörüne göre değil, açıkta kalan cihazın ürünü ve konumuna göre yapılıyor. k0t, bireysel kurumları araştırmak yerine açık ağ cihazlarını geniş ölçekte tarıyor. Coğrafi öncelik ABD ve Kanada, ardından Avrupa ülkeleri ve seçili APAC pazarları.

Küresel dağılım

Mağdurlar dünya genelinde ve farklı sektörlerde bulunuyor. Yaklaşık %38'i Asya-Pasifik bölgesinde, %31,9'u Latin Amerika'da, %15,8'i Avrupa'da, %12,7'si ise Orta Doğu ve Kuzey Afrika'da yoğunlaşıyor. Kampanyadaki önemli bir bölümünün 2026'nın Şubat-Haziran aylarında gerçekleştiği ve FortiBleed adlı kimlik bilgisi toplama kampanyasıyla dönem olarak örtüştüğü belirtiliyor.

Saldırı sonrası araçlar

Saldırganlar kurum ağına daha ilerlemek için NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz gibi meşru yönetici ve pentest araçlarından yararlanıyor. 70.000'den fazla açık cihaz kimlik bilgisi ve LDAP dökümü bu faaliyetle ilişkilendirildi. FortiBleed ile ihlal edilen veriler arasındaki örtüşme ise araştırmacılara göre ihmal edilebilir.

Önlem

Kurumların, raporda belirtilen güvenlik açıklarının uygun biçimde giderildiğinden emin olması öneriliyor. Açıkta kalan ağ kenarı cihazları envantere alınmalı ve tespit edilen açıklar giderilmelidir. k0t ile fidye yazılımı grupları arasındaki ilişkinin niteliği ve faaliyetin FortiBleed ile bağlantısı şu aşamada belirsiz.