Утечка учёток FortiGate: k0t собрал более 70 000 учётных данных без единого CVE

Group-IB и NyxLab описали кампанию актора k0t: на FortiGate, FortiWeb и GlobalProtect он собрал более 70 000 учётных данных сетевых устройств и LDAP. Утечка учёток FortiGate без названной уязвимости не закрывается патчем: доступ, полученный весной, может работать и сейчас.

70 000 — это учётки, а не компании: что известно о кампании k0t

70 000 — это учётные данные, а не взломанные организации. Group-IB и NyxLab 23 октября 2026 года опубликовали совместное исследование об акторе, которого отслеживают под именем k0t. Публике оно известно в основном по сжатому пересказу, и прямых цитат исследователей в нём нет.

По данным отчёта, k0t атаковал интернет-доступные сетевые устройства и собрал более 70 000 учётных данных, связанных с этими устройствами и с данными LDAP. За одной организацией могут стоять сотни и тысячи записей, а часть из них наверняка устарела и для входа уже не годится. Сколько компаний пострадало и из каких стран и отраслей, источник не сообщает.

Мы уже разбирали кампанию k0t по FortiGate и GlobalProtect; здесь — о другом: что из этого следует для владельца периметра и почему привычный цикл «бюллетень — патч — тикет закрыт» не работает.

Почему FortiGate, FortiWeb и GlobalProtect опаснее одного ноутбука?

Пограничный шлюз опаснее рабочей станции по трём причинам: через него заходят все удалённые сотрудники, он доверяет корпоративному каталогу, а EDR на нём обычно нет. В отчёте названы Fortinet FortiGate, Fortinet FortiWeb и портал удалённого доступа Palo Alto Networks GlobalProtect. Моделей, версий прошивки и класса уязвимости источник не приводит.

Устроены такие устройства похоже. Интерфейс виден из всего интернета, вход идёт по логину и паролю, который часто проверяется через корпоративный каталог. На практике к этому добавляются локальные учётки, общие пароли для подрядчиков, MFA не у всех пользователей и открытые порты управления.

С рабочей учёткой атакующий выглядит в журналах как сотрудник, подключившийся из дома. Антивирус на ноутбуках ничего не заметит: вредоносного кода на них нет.

Прецеденты у обоих производителей громкие. Критическая CVE-2023-27997 в FortiOS SSL-VPN позволяла выполнить код без аутентификации. Эксплуатацию CVE-2024-3400 в GlobalProtect (CVSS 10,0) Palo Alto Networks подтвердила в апреле 2024 года. Ни одна из них в отчёте не упоминается, так что это контекст, а не установленный вектор k0t. Как ваш шлюз выглядит снаружи, быстрее всего покажет пентест внешнего периметра.

Утечка учёток FortiGate вместе с LDAP: что это меняет для домена?

Когда вместе с учётками FortiGate утекают данные LDAP, удар приходится не на железку, а на каталог за ней. Чтобы пускать пользователей в SSL-VPN или GlobalProtect по доменным паролям, шлюз держит связь с LDAP или Active Directory. Через него проходят аутентификации сотрудников, а в его конфигурации хранится сервисная учётка для привязки к каталогу. Поэтому учётных данных может быть намного больше, чем устройств.

Исследователи описывают поведение атакующих в три шага: k0t получал доступ к организации, закреплял устойчивый удалённый доступ и выгружал данные. По оценке авторов, украденные учётки и сохранённый доступ дальше помогают продвигаться по корпоративной сети. Типичная ловушка: пароль администратора файрвола сменили, а пароли пользователей домена и сервисной учётки LDAP остались прежними.

Особенно ценна выгруженная конфигурация. Даже без рабочих паролей в ней видны топология, политики доступа, настройки VPN и адреса серверов каталога. По сути, это готовая карта для следующего этапа атаки.

Заметка из практики. На проектах мы раз за разом видим одну и ту же картину. Сервисная учётка, через которую FortiGate ходит в AD, имеет права шире нужного, пароль у неё не меняли годами, а владельца нет. Если такая учётка утекла, проверять нужно уже домен. Здесь поможет аудит Active Directory, а не повторная проверка файрвола.

Патч эту историю не закрывает

Патч не помогает, потому что закрывать нечего: в публикации нет ни CVE, ни оценки CVSS, ни списков уязвимых и исправленных версий. Как k0t получал первичный доступ, источник тоже не говорит. Это мог быть подбор паролей, проверка утёкших баз, эксплуатация незакрытой уязвимости или покупка готовых учёток.

Вторая причина — сроки. По данным пересказа отчёта, многие наблюдаемые компрометации пришлись на февраль–июнь 2026 года, и новой здесь стала публикация, а не атаки. Допустим, прошивку обновили в июле, а учётки с тех пор не меняли. Тогда у злоумышленника по-прежнему есть всё, что он унёс весной.

Третья причина касается MFA. Она снижает ценность украденного пароля, но не отзывает уже выданные сессии, созданные атакующим учётки и токены. Свежую прошивку для своей модели всё равно сверьте с бюллетенями PSIRT Fortinet и Palo Alto Networks — это гигиена, а не ответ на k0t.

Индикаторов компрометации — IP-адресов, доменов, хешей — в доступных материалах нет. Неизвестно и то, какая доля из 70 000 записей рабочая и как именно k0t закреплялся. Поэтому проверки ниже от IoC не зависят.

Шифровальщики: что подтверждено, а что нет

Связь k0t с шифровальщиками не подтверждена, и исследователи говорят об этом прямо. Они заметили пересечение: часть организаций из их наблюдений позже появилась на сайтах утечек вымогательских группировок. Как именно операторы k0t связаны с этими группами, авторы не установили.

Для доклада руководству подойдёт такая формулировка. Украденные учётки с периметра и устойчивый доступ — привычный товар брокеров начального доступа и частая ступень перед шифрованием. Утверждать, что k0t работает на конкретную группировку или что каждой жертве потом зашифровали сеть, по имеющимся данным нельзя. Этот риск нужно заложить в план: сценарий бокового движения из VPN проверяет оценка готовности к шифровальщикам.

Что проверить на периметре, если IoC вам никто не прислал?

На момент публикации, 26 октября 2026 года, искать стоит не следы конкретного актора, а следы чужого легитимного входа и признаки того, что доступ ещё жив. В зоне риска любая организация, у которой FortiGate, FortiWeb или портал GlobalProtect доступны из интернета. Сам факт использования этих продуктов о компрометации ничего не говорит. Проверяйте интервал с февраля по октябрь 2026 года включительно: доступ описан как устойчивый, и в июне он не обрывается.

Сначала сохранить

• Выгрузите журналы и конфигурации до перезагрузки и обновления. Перезагрузка стирает часть оперативных данных, а обновление усложняет последующий анализ.
• Проверьте глубину хранения. Если устройство хранит журналы две недели, а в SIEM они не уходили, историю за восемь месяцев придётся восстанавливать по косвенным данным.

Что смотреть на устройствах

• FortiGate (FortiOS). Администраторы и локальные учётки — команды только для чтения: show system admin и show user local. Активные SSL-VPN-сессии покажет get vpn ssl monitor. Сверьте результат с утверждённым списком.
• FortiWeb. Команды выше относятся к FortiOS, у FortiWeb своя CLI. Список администраторов и локальных пользователей проще сверить в веб-интерфейсе, в настройках администрирования (System > Admin).
• PAN-OS и GlobalProtect. В операционном режиме show admins покажет, кто из администраторов вошёл сейчас, а show global-protect-gateway current-user — подключённых пользователей. Полный список заведённых администраторов выводит show mgt-config users в режиме configure. Журналы GlobalProtect, Configuration и Authentication сверьте с заявками на изменения.
• Малозаметные правки важнее новых учёток: добавленные группы администраторов, новые порталы и шлюзы, правила NAT, ослабленные политики, новые доверенные адреса, подменённый LDAP-сервер, экспорт конфигурации.
• Успешные входы сопоставляйте с устройством пользователя, его графиком, географией и ASN. Необычный источник — повод разобраться, но ещё не доказательство взлома. Отдельно проверьте исходящие соединения самого шлюза: если он сам что-то отправляет наружу, это может быть эксфильтрация.

Что изменить

• Включите MFA на все административные и VPN-входы, отключите лишние локальные учётки, уберите интерфейс управления из интернета — перенесите его в сеть управления или закройте allow-листом.
• Меняйте учётки в таком порядке: сервисная учётка LDAP, затем локальные администраторы устройств, затем пароли пользователей VPN.
• Чтобы не уронить интеграции, для LDAP заведите новую сервисную учётку, пропишите её на всех шлюзах и в других системах, проверьте вход и только потом отключите старую.
• При подтверждённой компрометации отзовите сессии, ключи API, сертификаты и токены, а не только пароли.

Три решения для руководителя

Руководителю предстоят три решения. Первое — кто отвечает за периметр как за систему идентификации. Второе — есть ли журналы за весну. Третье — что делать, если проверка найдёт чужой вход.

Через VPN-шлюз проходят учётные данные сотрудников, а среди выгруженных данных могут оказаться персональные. Если расследование подтвердит утечку ПДн, по ч. 3.1 ст. 21 152-ФЗ Роскомнадзор нужно уведомить в течение 24 часов с момента выявления инцидента, а результаты расследования направить в течение 72 часов. С 30 мая 2025 года за утечки действуют оборотные штрафы по ст. 13.11 КоАП в редакции 420-ФЗ. Для субъектов КИИ инцидент на пограничном устройстве означает ещё и взаимодействие с ГосСОПКА.

Экономика простая. Ротация учёток и разбор журналов займут у администраторов несколько дней. Восстановление после шифровальщика — недели простоя и отдельная строка в бюджете.

Частые вопросы

Есть ли у кампании k0t номер CVE?

Нет. В публикации не названы ни CVE, ни CVSS, ни уязвимые и исправленные версии. Способ первичного доступа тоже не раскрыт.

70 000 — это число взломанных компаний?

Нет, это учётные данные, связанные с сетевыми устройствами и данными LDAP. Число пострадавших организаций в источнике не указано.

Какие продукты названы в отчёте?

Fortinet FortiGate, Fortinet FortiWeb и портал удалённого доступа Palo Alto Networks GlobalProtect. Модели и версии прошивок не уточняются.

Доказано ли, что k0t связан с шифровальщиками?

Нет. Исследователи видели пересечение с жертвами, которых позже выложили вымогатели, но точную связь прямо называют неподтверждённой.

Нужно ли что-то делать, если патчи Fortinet и Palo Alto уже стоят?

Да. Обновление не отзывает украденные пароли, сессии и созданные атакующим учётки. Проверьте журналы с февраля 2026 года и смените учётки: сначала сервисную LDAP, затем администраторов, затем пользователей VPN.

Почему период февраль–июнь 2026 всё ещё важен?

Потому что доступ описан как устойчивый, а октябрь — дата публикации, а не начала атак. Неотозванный весной доступ может работать и сейчас.

Если в журналах FortiGate или GlobalProtect нашлось что-то непонятное, команда SecurityLab.pro поможет разобраться и вычистить доступ: реагирование на инциденты ИБ. Начинаем с сохранения журналов, а не с перезагрузки.