Több mint 70 000 hitelesítő adat került veszélybe egy tűzfalakat célzó kampányban

A kutatók több mint 70 000, hálózati eszközökkel és LDAP-kivonatokkal összefüggésbe hozható hitelesítő adatot azonosítottak. A kampány Fortinet FortiGate és Palo Alto Networks GlobalProtect eszközöket is célzott.

A vizsgálat nyomai szerint egyes áldozatoknál tartós távoli hozzáférést alakítottak ki és adatokat vittek ki. A VPN virtuális magánhálózat, amely biztonságos kommunikációs csatornát adhat a hálózatok közötti adatátvitelhez.

A támadók a jelentés szerint a Fortinet FortiWeb CVE-2025-64446 jelű hibáját és a Palo Alto Networks CVE-2026-0257 azonosítójú sérülékenységét is próbálták kihasználni. Mindkettő szerepel a CISA ténylegesen kihasznált hibákat nyilvántartó listáján.

A FortiWeb hibája kritikus, és alkalmas lehet rendszergazdai parancsok futtatására. A magas súlyosságú Palo Alto-hiba jogosulatlan VPN-kapcsolat létrehozását teheti lehetővé. A Panorama és a Cloud NGFW nem érintett utóbbiban. A kutatók a jelentésben említett sérülékenységek megfelelő javítását javasolják.

A támadók nyilvános keresőeszközökkel kerestek internet felől elérhető VPN-eket és tűzfalakat, majd termék alapján állítottak össze célpontlistákat. Gyakori felhasználónév- és jelszókombinációkkal is próbálkoztak.

Az áldozatok 15,8%-a Európában volt. A kutatók szerint a k0t kampányának több áldozata később zsarolóvírus-csoportok adatszivárogtató oldalain is megjelent, de a köztük lévő kapcsolat pontos természete nem tisztázott.