K0t Kampagne nutzt exponierte Edge-Geräte, um Anmeldeinformationen zu stehlen und zu bewegen

Cybersecurity-Forscher haben eine groß angelegte Kampagne dokumentiert, die exponierte Netzwerkrand-Geräte - insbesondere VPN- und Firewall-Anwendungen - genutzt hat, um einen ersten Zugriff zu erhalten und sich seitlich innerhalb von Unternehmensnetzwerken zu bewegen. Der Schauspieler, der dieser Aktivität zugeschrieben wird, arbeitet unter dem Alias k0t (auch bekannt als CryptoFeel, Member19 und QazWsxShop) und nach der gemeinsamen Untersuchung von Group-IB und NyxLab seit dem 22. Oktober 2025 sichtbar gewesen wäre. Die Forscher berichten von konzentrierten Verpflichtungen zwischen Februar und Juni 2026, mit mehr als 70.000 exponierten Anmeldeinformationen und Opfern verteilt weltweit, überwiegend Asien-Pazifik (h.38%), Lateinamerika (h.31.9%), Europa (h.15.8%) und MENA (h.12.7%).

Konfirmierte Tatsachen: Die Kampagne basiert auf einer massiven Erkennung von Internet zugänglichen Geräten durch Suchmaschinen von Internet-of-things und Metadaten-Diensten (im Bericht: FOFA und ZoomEye erwähnt), erforscht öffentliche Schwachstellen in bestimmten Geräten - einschließlich CVE-2025-64446 und CVE-2026-0257 nach dem Bericht - und verwendet beide benutzerdefinierten Exploits (z.B. Skripte genannt "fortnew.py" und "exploit _ 2026 _ 0257.py") als brutale Kraftangriffe, um Anmeldeinformationen zu erhalten. Nach der ersten Intrusion stellen die Angreifer einen VPN-OpenConnect-Tunnel ein, stehlen Anmeldeinformationen und Daten, stellen legitime Remote-Administrationstools für Persistenz (MeshCentral Agent, Atera, Teramind, AnyDesk) und Emulation / Adversary Frameworks (AdaptixC2) zur Verfügung und filtern Informationen mit Rclone zu Cloud-Speicher wie Wasabi S3 und MEGA-Konten.

Technisch folgt der dokumentierte Angriffsstrom einem wiederholbaren Muster: 1) Massenentdeckung von Geräten mit exponierten Paneelen oder Managementdiensten; 2) Auswahl von Zielen nach Produkt und Geolokation statt nach Sektoren(d.h. die Art des Geräts ist wichtiger und wird als die Industrie des Opfers ausgesetzt); 3) Ausbeutung durch bekannte Schwachstellen oder schwache Anmeldeinformationen und 4) Verlängerung des Engagements durch administrative Tools und pentesting utilities, um Anmeldeinformationen von Active Directory / LDAP zu stehlen, seitlich zu bewegen und anhaltenden Zugriff. Die Verwendung von legitimen Gewinnen (Impacket, Mimikatz, PetitPotam, Kerbrute, etc.) macht die Erkennung schwierig, weil sie "nicht-malicious" Aktivität in den Augen einfacher Signaturen erzeugt.

Jene, die betroffen sind und warum es darauf ankommt: Im Gegensatz zu Kampagnen, die auf bestimmte Organisationen gerichtet sind, ist diese Operation breit und opportunistisch. Betreiber priorisieren exponierte Geräte und daher ist jedes Unternehmen, das Firewalls, VPN oder WAF-Anwendungen mit Internet zugänglichen administrativen Schnittstellen besitzt, unabhängig von seinem Sektor gefährdet. Die Korrelation mit den nachfolgenden Auflistungen in den Filtrationsstellen von Gruppen von Ransomware (Qilin, The Gentlemen) schlägt vor, dass einige Zugriffe von Betreibern von Ransomware verkauft oder wiederverwendet werden können, obwohl die genaue Art der Beziehung zwischen k0t und diesen Gruppen nicht zertifiziert ist.

Beobachten reale Folgen: LDAP-Anmeldeinformationen und braindumps Engagement, Präsenz von Backdoors und entfernten Administrations-Agenten installiert, und Datendiebstahl zu Cloud-Zielen. Diese Handlungen können zu Spionage, geistigem Eigentum Leckage, Betriebsunterbrechung (wenn Ransomware eingesetzt wird) und Verlust der regulatorischen Compliance führen, wenn persönliche Informationen gefiltert werden. Die Forscher weisen auch darauf hin, dass die Überschneidung der Daten, obwohl es eine vorübergehende Überschneidung mit einer anderen Kampagne namens FortiBleed gibt, "vernachlässigbar ist", die Angaben zu Gruppen von Anmeldeinformationen oder Untergruppen unabhängiger Betreiber innerhalb des gleichen Dachs der unerlaubten Aktivität angeben könnte.

Was bestätigt wird, was geschätzt wird und was unsicher ist: Es wird bestätigt, dass es Ausbeutung von exponierten Geräten, die Verwendung der oben genannten Exploits und Werkzeuge, und Exfiltration zu Wasabi / MEGA. Es ist eine vernünftige Schätzung, die von Artefakten unterstützt wird, dass k0t als Erstzugriffsbroker oder als Affiliate fungiert (d.h. nicht unbedingt als Endansomware Performer). Die genaue vertragliche oder operative Verbindung zwischen k0t und den aufgeführten Ransomware-Gruppen ist unsicher: die Untersuchungen zeigen Opfer Zufall, aber nicht öffentliche Beweise für direkte Koordinierung oder Gewinnbeteiligung.

Spezifische und dringende Empfehlungen für Sicherheitsmanager und Beamte: 1) Sofortige Bestandsaufnahme und reduzierte Exposition. Identifizieren Sie alle Grenzanwendungen (VPN, Firewalls, WAF) und überprüfen Sie, ob Ihre Verwaltungshäfen aus dem Internet zugänglich sind. Verwenden Sie defensive Suche auf Motoren wie FOFA oder ZoomEye mit eigenen Konten, um Ihre exponierten Vermögenswerte zu entdecken und, wenn möglich, entfernen Sie den öffentlichen Zugang oder begrenzen durch IP-Listen. (FOFA): https: / / fofa.so ZoomEye: http://www.zoomeye.org)

(2) Grundstücks- und Sicherheitsminderung. Bewerben Sie die offiziellen Patches und Minderungen für die oben genannten Lebensläufe und jede andere Schwachstelle in Netzwerkanwendungen sofort. Überprüfen Sie die Hinweise der Lieferanten (z.B. Fortinet und Palo Alto Networks veröffentlichen Warnhinweise und Minderungshinweise auf ihren Sicherheitsportalen): Fortinet: https: / / www.fortinet.com / support / product-security / security-advices, Palo Alto Networks: https: / / sicherheit.paloaltonetworks.com.

(3) Rotation von Anmeldeinformationen und Aushärtung. Deaktivieren Sie freigestellte Verwaltungskonten, gewaltsame Rotation von privilegierten Anmeldeinformationen und ermöglichen Sie die Multifaktorauthentifizierung für den administrativen Zugang. Überprüfen und implementieren Sie robuste Passwörter und Blockierungspolitik nach gescheiterten Versuchen.

4) Erkennung und Jagd von Intrusionen. Suchen Sie nach Engagement-Indikatoren: unbefugte OpenConnect-Verbindungen, Prozesse / Dienstleistungen im Zusammenhang mit MeshCentral / Atera / Teramind / AnyDesk, Rclone-Ausführungen, Transfers nach Wasabi oder MEGA und atypische Verwendung von Administrationstools. Audit-Log für VPN, Firewalls und Proxys; untersuchen LDAP und Kerberos / NTLM Veranstaltungen für Zeichen von PetitPotam / Kerbrute / Mimikatz. Ergänzen Sie Erkennungen für Befehle und Aufrufen der oben genannten Skripte, wenn Sie Endpunkt- oder Netzwerktelemetrie haben.

(5) Isolierung und Rückgewinnung. Wenn Sie das Engagement erkennen, isolieren Sie die betroffenen Hosts, widerrufen Sie verpflichtete Anmeldeinformationen und überprüfen Sie die Integrität der Domänencontroller und Backups. Betrachten Sie die Wiederherstellung von sauberen Kopien, wenn es einen Verdacht auf tiefe Beharrlichkeit gibt. Dokumente und Nachweise für die forensische Analyse.

Schließlich, obwohl die beschriebene Operation eher exponierte Geräte als bestimmte Industrien priorisiert, erfordern ihre Skala und Verwendung legitimer Werkzeuge, dass Organisationen einen proaktiven Ansatz verfolgen: kontinuierliche Inventar der öffentlichen Exposition, beschleunigte Parken, starke Authentifizierung und Überwachung der reichen Telemetrie. Die Response-Teams sollten spezifische Playbooks für Intrusionen vorbereiten, die durch den Betrieb von Edge-Geräten ausgelöst werden und mit Lieferanten und Behörden koordinieren, wenn Datenlecks oder Verbindungen mit Ransomware-Netzwerken identifiziert werden.