Una vasta campagna di cyberattacchi, attribuita al gruppo k0t, sta prendendo di mira firewall aziendali esposti, come Fortinet FortiGate e Palo Alto Networks GlobalProtect. L'obiettivo è ottenere accesso persistente e rubare dati.
Ricercatori di sicurezza informatica hanno svelato i dettagli di una campagna su larga scala che ha preso di mira dispositivi di rete perimetrali esposti, tra cui firewall di Fortinet e Palo Alto Networks. L'indagine congiunta di Group-IB e NyxLab ha rivelato che gli operatori di questa campagna hanno ottenuto l'accesso a numerose organizzazioni a livello globale, tentando di compromettere ulteriormente alcune vittime per stabilire un accesso remoto persistente ed esfiltrare dati.
L'attività di sfruttamento è stata attribuita a un attore di minaccia noto come k0t, che opera anche sotto gli alias CryptoFeel, Member19 e QazWsxShop. Questo cybercriminale è stato osservato per la prima volta il 22 ottobre 2025. Le analisi suggeriscono che k0t possa avere legami con gruppi di ransomware come Qilin e The Gentlemen, operando probabilmente come initial access broker (intermediario per l'accesso iniziale) o affiliato. Le sue attività sul dark web indicano un forte interesse nell'acquisizione di codici di sfruttamento di vulnerabilità e strumenti, oltre ad account premium per motori di ricerca di metadati come FOFA e ZoomEye.
La campagna colpisce vittime a livello globale e in svariati settori, data la natura indiscriminata del targeting dei dispositivi di rete esposti. Un numero significativo di compromissioni si è verificato tra febbraio e giugno 2026, periodo che coincide anche con un'altra campagna di raccolta di credenziali nota come FortiBleed. La maggior parte delle vittime si concentra nella regione Asia Pacifico (circa il 38%), seguita da America Latina (31,9%), Europa (15,8%) e Medio Oriente e Nord Africa (12,7%).
La catena di attacco si articola in diverse fasi:
Gli attacchi sono ulteriormente caratterizzati dall'uso di utility legittime di amministrazione e penetration testing, come NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam e Mimikatz, per approfondire la penetrazione negli ambienti aziendali delle vittime. I ricercatori hanno osservato che k0t tende a selezionare i potenziali bersagli enumerando appliance di rete esposte su larga scala, piuttosto che ricercando singole organizzazioni. Le sue priorità geografiche dichiarate iniziano con Stati Uniti e Canada, seguiti da paesi europei e mercati selezionati nell'area APAC. La scelta del prodotto e la posizione di un dispositivo esposto sembrano quindi contare più del settore di appartenenza dell'organizzazione.
I collegamenti di k0t con Qilin e The Gentlemen derivano dal fatto che molte vittime della campagna sono state successivamente elencate da questi gruppi ransomware sui loro siti di fuga dati. Tuttavia, la natura esatta della connessione tra k0t e queste gang rimane poco chiara. Group-IB e NyxLab hanno inoltre riscontrato una sovrapposizione "trascurabile" nei dati compromessi tra questa attività e la campagna FortBleed. Sono state identificate oltre 70.000 credenziali esposte associate a dispositivi di rete e dump LDAP in relazione alla campagna di k0t. Questo dato suggerisce che l'attività di k0t potrebbe rappresentare un sottoinsieme di operatori distinti o un'operazione di accesso correlata all'interno del più ampio ecosistema di attività legate a FortiBleed.
Le organizzazioni sono vivamente consigliate di intervenire per garantire che qualsiasi vulnerabilità menzionata in questo rapporto venga adeguatamente corretta, aggiornando i sistemi e rafforzando le difese perimetrali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
