Взлом FortiGate и GlobalProtect: кампания k0t и 70 000 учёток

23 октября 2026 года The Hacker News (Ravie Lakshmanan) описал взлом FortiGate и GlobalProtect: совместное расследование Group-IB и NyxLab. Злоумышленника отслеживают под обозначением k0t. С 22 октября 2025 года он бьёт по открытым межсетевым экранам Fortinet FortiGate и порталам Palo Alto Networks GlobalProtect, собирает учётные данные устройств и дампы LDAP — более 70 000 записей — и оставляет доступ, который затем мог бы достаться шифровальщикам. Связь с группами в отчёте названа неясной. Для компаний, у которых такие шлюзы до сих пор смотрят в интернет, отчёт — повод проверить собственный периметр.

Что опубликовано 23 октября и кто такой k0t

23 октября 2026 года The Hacker News (Ravie Lakshmanan) опубликовал пересказ совместного расследования Group-IB и NyxLab. Речь об одной кампании против пограничных устройств: прежде всего межсетевых экранов Fortinet FortiGate и порталов Palo Alto Networks GlobalProtect.

Злоумышленника отслеживают под обозначением k0t. Псевдонимы — CryptoFeel, Member19 и QazWsxShop. Впервые его заметили 22 октября 2025 года, так что к дате публикации активность тянется уже год. Это может быть один человек или несколько человек под одними псевдонимами: отчёт этого не разделяет.

Исследователи оценивают его как посредника, который собирает и продаёт доступ в сети (initial access broker), либо как аффилиата вымогательских операций. На тёмных форумах он интересовался покупкой кода эксплуатации, инструментов и платных аккаунтов к поисковым системам FOFA и ZoomEye.

Связь с группировками Qilin и The Gentlemen в отчёте названа неясной. Её выводят из того, что часть жертв кампании позже появилась на сайтах утечек этих групп. Это не досье на членство и не список платежей.

Artifacts from this investigation also indicate that operators in this campaign have obtained access to numerous organizations worldwide, and have attempted to further compromise some victims, resulting in persistent remote access and data exfiltration.

По-русски: операторы получили доступ ко множеству организаций по миру, а у части жертв пошли дальше первого входа — до устойчивого удалённого доступа и выгрузки данных.

Имён компаний, числа организаций и отраслей в источнике нет. Нет CVSS, номеров исправленных сборок и индикаторов компрометации. За версиями прошивок остаётся бюллетень производителя.

На периметрах в РФ и СНГ FortiGate и устройства Palo Alto до сих пор стоят массово. Шлюз, который нельзя штатно патчить, не становится безопаснее от того, что про него перестали писать пресс-релизы. Он дольше живёт с известными дырами и со слабыми паролями. Именно такие устройства k0t собирает списками.

Как идёт взлом FortiGate и GlobalProtect: видимый шлюз важнее отрасли

k0t выбирает цели перебором открытых сетевых устройств, а не изучением конкретной компании. Продукт и страна для него важнее сектора, в котором работает владелец.

Разведка идёт через поисковые системы по открытым интернет-сервисам FOFA и ZoomEye. Ими составляют списки VPN и межсетевых экранов, доступных из интернета, и отфильтровывают кандидатов по продукту.

FOFA и ZoomEye индексируют сервисы и метаданные. Попадание устройства в выдачу показывает, что интерфейс виден снаружи. Само по себе это не доказывает ни дыру, ни взлом, но для атакующего это уже очередь на проверку. Покупка платного доступа к индексу в отчёте описана как часть подготовки.

k0t appears to select potential targets by enumerating exposed network appliances at scale rather than researching individual organizations.

По-русски: k0t отбирает цели, перечисляя открытые сетевые устройства пачками, а не изучая отдельные организации. Заявленные географические приоритеты начинаются с США и Канады, затем идут европейские страны и отдельные рынки Азиатско-Тихоокеанского региона.

Фактическое распределение жертв другое. Почти 38 % — Азиатско-Тихоокеанский регион, 31,9 % — Латинская Америка, 15,8 % — Европа, 12,7 % — Ближний Восток и Северная Африка. Азиатско-Тихоокеанский регион и Латинская Америка вместе дают почти 70 %.

Исследователи прямо пишут: продукт и расположение открытого устройства важнее отрасли организации. Фильтр «мы не банк и не госорган» здесь не работает. Отрасль списком в отчёте не названа, потому что отбор шёл не по ней.

Кампания описана как глобальная. Приоритет, который злоумышленник сам называл, — Северная Америка, а доля жертв в отчёте смещена в APAC и Латинскую Америку. Российские адреса в процентах не выделены.

Отсутствие страны в диаграмме не снимает риск со шлюза, который отвечает на сканер. Отбор идёт по видимости FortiGate, FortiWeb, GlobalProtect и родственных интерфейсов. Если административная или VPN-панель торчит в интернет, устройство уже в том классе целей, который k0t собирает списками.

Как получают первый доступ: две CVE и обычный перебор

Первый доступ берут двумя уязвимостями и параллельно перебором типовых пар логин/пароль на тех же классах устройств. Канал OpenConnect появляется уже после входа: это закрепление, а не третья дыра.

CVE-2025-64446 — уязвимость обхода каталогов (path traversal) в FortiWeb. CVE-2026-0257 — обход аутентификации в PAN-OS и Prisma Access. Под них написаны собственные Python-скрипты fortnew.py и exploit_2026_0257.py. Кода и параметров запросов в пересказе нет.

Оговорка по продуктам важна. CVE-2025-64446 — FortiWeb, CVE-2026-0257 — PAN-OS и Prisma Access. Для FortiGate источник описывает только перебор учётных данных, а не отдельную дыру в самом FortiGate. GlobalProtect в кампании — цель сканирования и подбора паролей; привязанная к нему CVE в отчёте относится к PAN-OS и Prisma Access.

FortiWeb в заголовке звучит реже, чем FortiGate и GlobalProtect, но CVE-2025-64446 бьёт именно по веб-экрану Fortinet. Шлюз и FortiWeb одного производителя часто стоят рядом, и панель обоих смотрит наружу.

Второй путь — подбор распространённых сочетаний имени и пароля на FortiGate и GlobalProtect. Для устройства со заводским или давно не менянным паролем администратора перебор закрывает задачу без эксплойта.

На пентесте внешнего периметра такая картина повторяется: панель VPN или админка отвечает из интернета, а журнал успешных входов либо выключен, либо крутится на самом устройстве и затирается. Это наблюдение с проверок, не цифра из отчёта Group-IB и NyxLab.

После входа операторы закрепляют канал через VPN-подключение OpenConnect. Компрометация пограничного устройства опаснее взлома одной рабочей станции: через шлюз идут VPN-сессии сотрудников, административные входы и маршруты между сегментами.

Исследователи рекомендуют устранить названные уязвимости там, где исправление уже выпущено. Оценок CVSS и номеров сборок в материале нет, поэтому «обновитесь до сборки X» отсюда не следует.

Где сборки под рукой нет, остаётся сужать публикацию: убрать лишние административные и VPN-интерфейсы с публичного IP-адреса и оставить доступ через отдельный контур. Старую прошивку при этом стоит считать уже способной отдать сессию.

Тот же класс риска мы разбирали в другом свежем разборе дыры Fortinet: краевое устройство эксплуатируют быстрее, чем его успевают убрать с периметра. Патч закрывает конкретную дыру. Он не удаляет уже созданные учётные записи, агенты удалённого администрирования, живые VPN-сессии и украденные токены.

Что происходит после входа в сеть

После опоры на шлюзе операторы смотрят Active Directory, SMB и установленный антивирус, добирают учётки и ставят легитимные средства удалённого доступа. Сканер снаружи на этом шаге уже не нужен.

Для закрепления в отчёте названы MeshCentral Agent, Atera, Teramind и AnyDes (в тексте источника именно так; по смыслу это AnyDesk), плюс открытый каркас имитации атакующего AdaptixC2.

MeshCentral, Atera, Teramind и AnyDesk — обычные программы удалённого администрирования и мониторинга. Их наличие само по себе не доказывает взлом. Несанкционированный агент даёт устойчивый доступ без классического вредоносного файла, который антивирус ловит по хешу.

Стоит провести инвентаризацию RMM-агентов: кто установил, к какому серверу или tenant подключён, откуда шли команды, есть ли он в разрешённом списке. Сверять нужно с этим списком, а не с вердиктом антивируса.

Дальше — боковое движение знакомым доменным набором: NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam, Mimikatz. Набор показывает направление: от шлюза к домену, а не к одной виртуальной машине.

Kerbrute используют, чтобы проверять имена пользователей. Mimikatz — чтобы доставать учётные данные из памяти и хранилищ. PetitPotam принуждает хост пройти аутентификацию на сервере, который контролирует атакующий. noPac — известный приём повышения привилегий в Active Directory. Файл утилиты на диске ещё не доказывает успешный запуск.

Именно поэтому после тихого входа на шлюз нужен аудит Active Directory: новые учётки, проброс SMB, необычные запросы к контроллеру. Антивирус на конечной точке эту цепочку часто не закрывает: инструменты легитимные или уже знакомые администраторам.

Выгрузка идёт через Rclone в бакеты Wasabi (S3-совместимое хранилище) и на диски MEGA. Wasabi и MEGA сами по себе не вредоносная инфраструктура. Rclone умеет много облаков и обычно хранит параметры и секреты в файле конфигурации.

Искать стоит связку: новый процесс rclone, конфиг неизвестного хранилища, большой исходящий поток с сервера, шлюза или контроллера домена и отсутствие согласованной задачи резервного копирования. Одно обращение к облаку — ещё не атака.

Исследователи связали с кампанией более 70 000 учётных данных сетевых устройств и дампов LDAP. Это размер найденного корпуса записей, а не число организаций и не число людей. Из отчёта не ясно, сколько за этими записями стоит организаций или людей.

Для службы ИБ цифра всё равно рабочая. В массиве могут лежать локальные администраторы шлюзов, сервисные учётки и выгрузки каталога. Повтор того же пароля на VPN, в домене и в облачной консоли превращает одну утечку с периметра в несколько входов сразу.

Посредник продаёт доступ. Аффилиат или другая группа может развить его до шифрования и шантажа. Доказать, что именно k0t шифрует сети, отчёт не берётся.

Простой систем, восстановление, уведомление регулятора и разбор утечки по 152-ФЗ с оборотными штрафами по 420-ФЗ (статья 13.11 КоАП) ложатся на бюджет уже после того, как шлюз «просто ответил» из интернета. Для объектов КИИ добавится вопрос, почему значимый сегмент был достижим с пограничного устройства без отдельного контроля.

Это FortiBleed или отдельный массив доступа?

По времени кампания совпадает с FortiBleed, по данным — почти нет. Исследователи называют пересечение скомпрометированных записей незначительным.

Существенная доля компрометаций пришлась на февраль–июнь 2026 года, пять календарных месяцев. Окно накладывается на отдельную кампанию сбора учётных данных, которую в материале называют FortiBleed; в пересказе встречается и написание FortBleed. Совпадение календаря не склеивает два массива в одну операцию.

This aligns with reports that many operators are likely to be involved in the FortiBleed activity cluster, suggesting that this may be a separate dataset, operator subset, or related access operation within the broader FortiBleed-related activity.

По-русски у отчёта три рабочих варианта: отдельный набор данных, подмножество операторов или смежная операция доступа внутри более широкой активности вокруг FortiBleed.

Для расследования разница практическая. Проверка «наш шлюз не фигурировал в списках FortiBleed» не закрывает вопрос, не попали ли учётки в корпус k0t. Почти нулевое пересечение как раз говорит, что второй массив надо искать отдельно: другие дампы, другие облачные выгрузки, другие псевдонимы на форумах.

Связка с Qilin и The Gentlemen устроена так же осторожно. Часть жертв k0t позже оказалась на сайтах утечек этих групп. Это след того, что доступ могли продать или передать дальше, а не доказательство, что k0t сам шифрует сети под этими вывесками.

Надёжность связи средняя: исследователи прямо говорят, что природа контакта неясна. Готовность к шифровальщикам здесь про дальнейшую продажу доступа, а не про сам факт сканирования FOFA.

Появление на сайте утечек — поздняя стадия. К этому моменту учётки, RMM и выгрузка уже могли отработать месяцами, особенно если основная волна входов была весной 2026 года, а публичный разбор вышел только 23 октября.

Что проверить на периметре, если патч уже негде взять?

Если вы читаете это после 23 октября 2026 года, инвентаризация всё ещё актуальна: волна входов в отчёте тянется месяцами, а не одним днём. Имеет смысл пройти все FortiGate, FortiWeb, GlobalProtect, PAN-OS и Prisma Access, которые отвечают из интернета, и отдельно проверить, не остался ли на них чужой доступ.

• Список внешних адресов: административные интерфейсы, SSL-VPN, GlobalProtect, порталы FortiWeb. Всё, что не нужно снаружи, убрать с публикации или закрыть доступом только из своей сети.
• Статус исправлений по CVE-2025-64446 (FortiWeb) и CVE-2026-0257 (PAN-OS, Prisma Access) там, где сборка уже есть у производителя. Где сборки нет — зафиксировать риск письменно и сузить поверхность.
• Для FortiGate отдельно: перебор паролей в отчёте, а не CVE. Сменить локальных администраторов и отключить вход с публичного IP-адреса.
• Журналы шлюза снять во внешнюю систему до смены паролей и перезагрузки. Иначе локальный буфер затрётся вместе со следами.
• Новые локальные администраторы, правки VPN-политик, успешные входы с необычных адресов, сессии OpenConnect, которые вы не заводили.
• Агенты MeshCentral, Atera, Teramind, AnyDesk и следы AdaptixC2 на серверах и рабочих станциях рядом со шлюзом. Сверять с инвентарём разрешённого ПО. Имена скриптов fortnew.py и exploit_2026_0257.py имеет смысл поискать на прыжковых узлах администраторов.
• Процессы и конфиги Rclone, исходящие потоки к Wasabi и MEGA с административных узлов, контроллеров и самого межсетевого экрана, если с него вообще разрешён такой трафик.
• Ротация учёток устройств, локальных администраторов и учёток, которые могли попасть в дамп LDAP. Делать это с заведомо чистой административной машины, после обрыва подозрительных VPN- и admin-сессий. Повтор пароля на соседней системе тоже считать скомпрометированным: корпус — более 70 000 записей.

Одного пароля администратора на FortiGate мало. Нужно пройти локальные и доменные учётки, ключи, токены API и сертификаты, которыми шлюз и интеграции ходят в каталог.

На проверках домена после тихой компрометации периметра чаще всего всплывают не шифровальщики, а новая учётка с правами, проброс SMB и RMM, который поставили «для удалёнки подрядчика» несколько месяцев назад.

Руководителю здесь три решения. Первое: сколько таких шлюзов ещё в проде и кто владеет риском, если обновления официально не приходят. Второе: бюджет на замену или на компенсирующие меры — сегментация, сбор журналов, запрет прямого администрирования из интернета — пока замена не случилась.

Третье: готовность к тому, что доступ уже могли продать. Контроль домена и ротация секретов важнее формулы «нас нет в списке жертв». Имён жертв в отчёте нет, так что списка, по которому можно себя вычеркнуть, не существует.

Если шлюз обслуживает контур с персональными данными или значимый объект КИИ, разбор лучше закладывать как инцидент, а не как плановую установку патча. У k0t окно активных компрометаций измеряется месяцами. Чем позже снимут журналы, тем меньше в них останется.

Чего в отчёте нет

В открытом пересказе нет имён жертв, числа организаций, версий прошивок, оценок CVSS и индикаторов, по которым можно автоматически прогнать сеть. Ждать такого файла из этой публикации не стоит.

Не сказано, как именно посторонние сохраняли данные и какой объём из корпуса более чем в 70 000 записей относится к живым паролям, а какой — к устаревшим или тестовым. Не раскрыто, купил ли k0t эксплойты до публичного описания CVE или писал скрипты по уже известным бюллетеням.

Для приоритизации внутри компании это не блокер. Видимый FortiGate или GlobalProtect, слабый пароль, чужой RMM и rclone на контроллере проверяются без чужого файла индикаторов.

Неясной остаётся и коммерческая роль: посредник, аффилиат Qilin, аффилиат The Gentlemen или несколько человек под одними псевдонимами. Пока исследователи держат формулировку «связь неясна», строить защиту под имя группы бессмысленно. Строить её под открытый шлюз и доменные учётки — как раз по материалу отчёта.

Если журналы шлюза уже показывают чужие сессии, OpenConnect, которого вы не заводили, или выгрузку в Wasabi и MEGA, это повод разбирать инцидент, а не ждать следующего пересказа. Имена в отчёте задним числом не появятся.

Частые вопросы

Что за кампания k0t против FortiGate и GlobalProtect?

Совместное расследование Group-IB и NyxLab, которое 23 октября 2026 года пересказал The Hacker News. Злоумышленника отслеживают как k0t (CryptoFeel, Member19, QazWsxShop): с 22 октября 2025 года он ищет открытые FortiGate и GlobalProtect, заходит через известные дыры соседних продуктов или перебор паролей и уносит учётные данные.

CVE-2025-64446 FortiWeb — что это и кого касается?

Это уязвимость обхода каталогов (path traversal) в FortiWeb. В кампании k0t под неё использовали скрипт fortnew.py. К самому FortiGate эта CVE не относится: для FortiGate источник описывает перебор учётных данных. Номера исправленных сборок в пересказе нет — их нужно брать из бюллетеня Fortinet.

CVE-2026-0257 в PAN-OS и Prisma Access уже эксплуатируют?

В этой кампании — да, как способ первого входа: исследователи назвали скрипт exploit_2026_0257.py. Это обход аутентификации в PAN-OS и Prisma Access. Отдельной оценки CVSS и подтверждения эксплуатации вне данного расследования пересказ не содержит.

Откуда более 70 000 учёток сетевых устройств и LDAP?

Group-IB и NyxLab связали с кампанией более 70 000 учётных данных сетевых устройств и дампов LDAP. Это размер найденного корпуса записей. Из отчёта не ясно, сколько за этими записями стоит организаций или людей и какая доля паролей ещё живая.

FortiBleed и k0t — это одна и та же операция?

Нет, так отчёт не говорит. Календари пересекаются (существенная доля входов k0t — февраль–июнь 2026), но пересечение самих скомпрометированных данных исследователи называют незначительным. Рабочие версии: отдельный набор, подмножество операторов или смежная операция внутри более широкой активности вокруг FortiBleed.

Связан ли k0t с шифровальщиками Qilin и The Gentlemen?

Связь в отчёте названа неясной. Её выводят из того, что часть жертв кампании позже появилась на сайтах утечек Qilin и The Gentlemen. Это согласуется с ролью посредника, который продаёт доступ, и не доказывает, что k0t сам шифрует сети.

Если FortiGate или GlobalProtect до сих пор опубликованы и обновляются с задержкой, имеет смысл отдельный пентест внешнего периметра и проверка, не ушёл ли доступ в домен: на таких шлюзах мы чаще находим живые админские сессии и чужие RMM, чем «свежий» эксплойт.