מחקר משותף של Group-IB ו-NyxLab מתאר שחקן תקיפה בשם k0t שמכוון להתקני קצה חשופים לאינטרנט, בעיקר חומות אש FortiGate ושערי GlobalProtect של Palo Alto Networks. התוצאה לפי החוקרים: גישה לארגונים רבים ומעל 70,000 אישורים שנחשפו.
הפרטים
החוקרים מעריכים ש-k0t פועל לפחות מאוקטובר 2025, וקושרים אותו, בלי הבהרה לגבי אופי הקשר, לקבוצות הכופרה Qilin ו-The Gentlemen. איתור היעדים נעשה בכלי סריקה כמו FOFA ו-ZoomEye, והכניסה דרך ניצול CVE-2025-64446 (FortiWeb), CVE-2026-0257 (עקיפת אימות ב-PAN-OS וב-Prisma Access) או ניחוש צירופי משתמש וסיסמה נפוצים.
לאחר החדירה נבנתה אחיזה דרך חיבור OpenConnect VPN, בוצעה סריקה של Active Directory ו-SMB, הותקנו כלי גישה מרחוק ו-AdaptixC2, והמידע הוברח בעזרת Rclone לאחסון ענן. לפי המחקר, כ-38% מהקורבנות באסיה-פסיפיק, כ-32% באמריקה הלטינית, כ-16% באירופה וכ-13% במזרח התיכון וצפון אפריקה.
נקודות לשים לב
- ודא שה-PAN-OS וה-Prisma Access שלך מעודכנים מול CVE-2026-0257, ושמוצרי Fortinet מתוקנים מול CVE-2025-64446.
- הקמפיין אינו תלוי רק בפגיעויות: סיסמאות חלשות בממשקי VPN חשופים מספיקות. הפעל אימות רב-שלבי והגבל ניסיונות כניסה.
- בדוק בלוגי ה-VPN חיבורי OpenConnect חריגים, ובקרת הרשת תעבורה יוצאת ל-Wasabi ול-MEGA.
- חפש התקנות לא מוכרות של MeshCentral, Atera או AnyDesk.
- רוב הפריצות המשמעותיות התרחשו בין פברואר ליוני 2026, ולכן סקירה לאחור של אישורים ולוגים רלוונטית גם אם לא נצפה דבר לאחרונה.
מקורות: Group-IB · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
