Uma campanha de grande alcance tem como alvo equipamentos FortiGate, FortiWeb e Palo Alto GlobalProtect para roubar credenciais, estabelecer acesso persistente e exfiltrar dados corporativos.
A investigação associa a atividade a um operador conhecido como k0t e identifica mais de 70 mil credenciais expostas em registros de dispositivos de rede, despejos de LDAP (Protocolo Leve de Acesso a Diretórios) e outros artefatos operacionais.
Pesquisadores identificaram possíveis conexões com o conjunto de ataques conhecido como FortiBleed, divulgado em junho, com muitos comprometimentos de equipamentos FortiGate ocorridos entre fevereiro e junho de 2026.
No entanto, o novo conjunto de credenciais não foi vinculado a agentes monitorados anteriormente, incluindo o FortiBleed.
As sobreposições de vítimas com Qilin e The Gentlemen sugerem possível atuação como corretor de acesso inicial, mas afiliações diretas com ransomware permanecem não confirmadas.
Os operadores montam listas de alvos usando FOFA, ZoomEye e serviços do submundo digital que fornecem endereços de dispositivos filtrados por produto.
O reconhecimento prioriza infraestruturas expostas de VPN (rede privada virtual) e firewall, e não setores industriais específicos.
Ásia-Pacífico e América Latina concentram as maiores parcelas dos domínios de vítimas identificáveis, embora os pesquisadores alertem que padrões de exposição, e não um direcionamento regional deliberado, podem explicar essa distribuição.
Um utilitário personalizado em Python, “FortiGate Security Scanner”, processa listas de alvos simultaneamente e tenta explorar a CVE-2025-64446 (sigla para Vulnerabilidades e Exposições Comuns) contra o FortiWeb. A Fortinet descreve a falha como uma travessia de caminho relativo (relative path traversal) que permite a execução de comandos administrativos sem autenticação por meio de requisições HTTP (Protocolo de Transferência de Hipertexto) ou HTTPS (versão segura do HTTP) elaboradas.
Roubo de credenciais pelo K0T
Segundo a investigação da Group-IB, o scanner cria uma conta de administrador com acesso irrestrito a hosts confiáveis e, em seguida, valida as credenciais.
Os equipamentos FortiGate não são vulneráveis a essa falha do FortiWeb. Em vez disso, a ferramenta faz tentativas de força bruta contra a API (interface de programação de aplicações) REST (Transferência Representacional de Estado).
A lógica de tratamento de bloqueios pausa os alvos bloqueados por 60 segundos antes de tentar novamente. Após a autenticação bem-sucedida, uma função opcional de análise de configuração baixa as configurações do equipamento e descriptografa os segredos armazenados usando a chave AES (Padrão de Criptografia Avançada) padrão do FortiOS, associada à CVE-2019-6693.
O material recuperado pode incluir credenciais de bind LDAP, o que oferece uma rota do comprometimento do perímetro até o Active Directory.
No caso do GlobalProtect, os operadores usam um scanner separado que explora a CVE-2026-0257 por meio da falsificação de cookies de substituição de autenticação. A vulnerabilidade permite conexões VPN não autorizadas em configurações afetadas, desde que haja substituição de autenticação e reutilização de certificados.
Em seguida, a ferramenta invoca o OpenConnect para estabelecer acesso à rede.
Já dentro da rede, os operadores conduzem a descoberta manual e a coleta de credenciais usando NetExec, Impacket, Kerbrute e Mimikatz. A atividade observada inclui a extração de segredos do Windows, a coleta de hashes de contas de serviço Kerberos e a busca por privilégios de administrador de domínio por meio de cadeias de ataque noPac e de técnicas relacionadas a certificados.
A persistência vai além do acesso VPN. Pesquisadores identificaram uma infraestrutura MeshCentral no endereço mesh[.]buttruyen[.]com gerenciando 84 endpoints comprometidos em 28 grupos de dispositivos ativos. Outros 100 grupos haviam sido removidos, o que impede que essas entradas históricas sustentem uma contagem confiável de vítimas atuais.
Os agentes MeshAgent foram distribuídos por meio de agent[.]afahimsa[.]top, separando a hospedagem dos payloads do servidor de gerenciamento. O Rclone foi usado para a exfiltração de dados, enquanto o AdaptixC2 forneceu um canal adicional de comando e controle (C2), somado ao abuso de ferramentas comerciais de gerenciamento remoto.
Múltiplas contas e aliases de operadores indicam uma operação colaborativa, que pode estar distribuindo o acesso entre invasores ou preparando-o para venda.
A pesquisa separada da Group-IB documenta o modelo de afiliados da Qilin e a dependência do The Gentlemen de infraestruturas Fortinet comprometidas. Isso torna as sobreposições observadas relevantes, sem, contudo, estabelecer atribuição.
As equipes de defesa devem tratar a remediação como gestão de vulnerabilidades e resposta a intrusões ao mesmo tempo.
É preciso aplicar as correções dos fabricantes, revisar contas de administrador inesperadas, investigar sessões VPN não autorizadas e agentes de gerenciamento remoto, além de trocar as credenciais de diretório expostas.
O guia de resposta a incidentes do GlobalProtect também recomenda encerrar as sessões ativas após a aplicação das correções, pois o acesso existente pode sobreviver à remediação.
IOCs (Indicadores de Comprometimento)
Observação: endereços IP e domínios foram propositalmente desfigurados (por exemplo, com [.]) para evitar resolução ou links acidentais. Restaure-os apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de informações e eventos de segurança).
