Campaña de k0t explota dispositivos de borde expuestos para robar credenciales y moverse

Investigadores de ciberseguridad han documentado una campaña a gran escala que ha explotado dispositivos de borde de red expuestos —en particular appliances de VPN y firewalls— para obtener acceso inicial y moverse lateralmente dentro de redes corporativas. El actor atribuido a esta actividad opera bajo el alias k0t (también conocido como CryptoFeel, Member19 y QazWsxShop) y, según la investigación conjunta de Group-IB y NyxLab, habría empezado a ser visible desde el 22 de octubre de 2025. Los investigadores reportan compromisos concentrados entre febrero y junio de 2026, con más de 70.000 credenciales expuestas y víctimas distribuidas globalmente, predominando Asia-Pacífico (≈38%), América Latina (≈31,9%), Europa (≈15,8%) y MENA (≈12,7%).

Hechos confirmados: la campaña se apoya en reconocimiento masivo de dispositivos accesibles desde Internet mediante motores de búsqueda de internet-of-things y servicios de metadata (mencionados en el reporte: FOFA y ZoomEye), explota vulnerabilidades públicas en equipos específicos —incluidos CVE-2025-64446 y CVE-2026-0257 según el informe— y utiliza tanto exploits personalizados (por ejemplo, scripts denominados "fortnew.py" y "exploit_2026_0257.py") como ataques de fuerza bruta para obtener credenciales. Tras la intrusión inicial, los atacantes establecen un túnel VPN OpenConnect, roban credenciales y datos, despliegan herramientas legítimas de administración remota para persistencia (MeshCentral Agent, Atera, Teramind, AnyDesk) y frameworks de emulación/adversario (AdaptixC2), y exfiltran información usando Rclone hacia almacenamiento en la nube como Wasabi S3 y cuentas de MEGA.

Técnicamente, el flujo de ataque documentado sigue un patrón repetible: 1) descubrimiento masivo de dispositivos con paneles o servicios management expuestos; 2) selección de objetivos por producto y geolocalización en vez de por sector (es decir, importan más el tipo de dispositivo y si está expuesto que la industria de la víctima); 3) explotación mediante vulnerabilidades conocidas o credenciales débiles; y 4) ampliación del compromiso mediante herramientas administrativas y utilidades de pentesting para robar credenciales de Active Directory/LDAP, moverse lateralmente y mantener acceso persistente. El uso de utilidades legítimas (Impacket, Mimikatz, PetitPotam, Kerbrute, etc.) dificulta la detección porque genera actividad “no maliciosa” a ojos de firmas simples.

Quiénes resultan afectados y por qué importa: a diferencia de campañas dirigidas a organizaciones concretas, esta operación es amplia y oportunista. Los operadores priorizan dispositivos expuestos y, por tanto, cualquier empresa que tenga firewalls, appliances VPN o WAF con interfaces administrativas accesibles desde Internet corre riesgo —independientemente de su sector. La correlación con listados posteriores en sitios de filtración de grupos de ransomware (Qilin, The Gentlemen) sugiere que algunos accesos pueden terminar vendiéndose o siendo reutilizados por operadores de ransomware, aunque la naturaleza exacta de la relación entre k0t y esos grupos no está certificada.

Consecuencias reales observables: compromiso de credenciales y dumps de LDAP, presencia de backdoors y agentes de administración remota instalados, y robo de datos hacia destinos en la nube. Estas acciones pueden derivar en espionaje, fuga de propiedad intelectual, interrupción operativa (si se despliega ransomware) y pérdida de cumplimiento regulatorio si se filtra información personal. Los investigadores también señalan que, aunque existe solapamiento temporal con otra campaña llamada FortiBleed, la superposición de datos comprometidos es “negligible”, lo que podría indicar conjuntos de credenciales o subconjuntos de operadores independientes dentro de una misma sombrilla de actividad ilícita.

Qué está confirmado, qué se estima y qué queda incierto: está confirmado que hubo explotación de dispositivos expuestos, la utilización de los exploits y herramientas mencionadas, y la exfiltración hacia Wasabi/MEGA. Es una estimación razonable, apoyada por artefactos, que k0t actúe como broker de acceso inicial o como afiliado (es decir, no necesariamente ejecutor final de ransomware). Es incierto el vínculo contractual o operativo exacto entre k0t y los grupos de ransomware listados: las investigaciones muestran coincidencia de víctimas pero no pruebas públicas de coordinación directa ni de reparto de ganancias.

Recomendaciones concretas y urgentes para administradores y responsables de seguridad: 1) Inventario inmediato y reducción de la exposición. Identifique todos los appliances de borde (VPN, firewalls, WAF) y compruebe si sus puertos administrativos están accesibles desde Internet. Utilice búsqueda defensiva en motores como FOFA o ZoomEye con cuentas propias para descubrir sus activos expuestos y, si es posible, retire el acceso público o limite mediante listas de IP. (FOFA: https://fofa.so, ZoomEye: https://www.zoomeye.org).

2) Parcheo y mitigación de vulnerabilidades. Aplique de inmediato los parches y mitigaciones oficiales para los CVE citados y cualquier otra vulnerabilidad en appliances de red. Revise los avisos de los proveedores (por ejemplo, Fortinet y Palo Alto Networks publican alertas y guías de mitigación en sus portales de seguridad): Fortinet: https://www.fortinet.com/support/product-security/security-advisories, Palo Alto Networks: https://security.paloaltonetworks.com.

3) Rotación de credenciales y endurecimiento. Desactive cuentas administrativas expuestas, fuerce rotación de credenciales privilegiadas y habilite autenticación multifactor para accesos administrativos. Revise y aplique política de contraseñas robustas y bloqueo tras intentos fallidos.

4) Detección y caza de intrusiones. Busque indicadores de compromiso: conexiones de OpenConnect no autorizadas, procesos/servicios asociados a MeshCentral/Atera/Teramind/AnyDesk, ejecuciones de Rclone, transferencias hacia Wasabi o MEGA y uso atípico de herramientas de administración. Audite logs de VPN, firewalls y proxys; examine dumps LDAP y eventos de Kerberos/NTLM para signos de PetitPotam/Kerbrute/Mimikatz. Implemente detecciones para comandos e invocaciones de los scripts citados si dispone de telemetría de endpoint o de red.

5) Aislamiento y recuperación. Si detecta compromiso, aísle los hosts afectados, revoque credenciales comprometidas y revise la integridad de controladores de dominio y backups. Considere restauración desde copias limpias si existe sospecha de persistencia profunda. Documente y preserve evidencias para análisis forense.

Finalmente, aunque la operación descrita prioriza dispositivos expuestos más que industrias concretas, su escala y uso de herramientas legítimas requieren que las organizaciones asuman un enfoque proactivo: inventario continuo de la exposición pública, parcheo acelerado, autenticación fuerte y monitoreo de telemetría rica. Los equipos de respuesta deben preparar playbooks específicos para intrusiones iniciadas por explotación de dispositivos de borde y coordinar con proveedores y autoridades si se identifican filtraciones de datos o conexiones con redes de ransomware.