La campagne K0t exploite les périphériques de bord exposés pour voler les identifiants et se déplacer

Les chercheurs en cybersécurité ont documenté une campagne à grande échelle qui a exploité les périphériques de bord de réseau exposés - en particulier les applications VPN et pare-feu - pour obtenir un accès initial et se déplacer latéralement dans les réseaux d'entreprise. L'acteur attribué à cette activité opère sous l'alias k0t (également connu sous le nom de CryptoFeel, Membre19 et QazWsxShop) et, selon l'enquête conjointe du Groupe-IB et de NyxLab, elle aurait commencé à être visible depuis le 22 octobre 2025. Les chercheurs font état d'engagements concentrés entre février et juin 2026, avec plus de 70 000 titres de créance et victimes exposés répartis dans le monde entier, principalement en Asie-Pacifique (h.38%), en Amérique latine (h.31.9%), en Europe (h.15.8%) et en MENA (h.12.7%).

Faits confirmés : la campagne est fondée sur la reconnaissance massive des appareils accessibles par Internet par les moteurs de recherche des services d'Internet des objets et métadonnées (mentionnés dans le rapport : FOFA et ZoomEye), explore les vulnérabilités du public dans certains équipements - y compris CVE-2025-64446 et CVE-2026-0257 selon le rapport - et utilise à la fois des exploits personnalisés (par exemple, des scripts appelés "fortnew.py" et "exploit _ 2026 _ 0257.py") comme attaques de force brute pour obtenir des identifiants. Après l'intrusion initiale, les attaquants établissent un tunnel VPN OpenConnect, volent des identifiants et des données, déploient des outils d'administration à distance légitimes pour la persistance (MeshCentral Agent, Atera, Teramind, AnyDesk) et des cadres d'émulation/adversaires (AdaptixC2), ainsi que des informations d'exfiltre utilisant Rclone pour le stockage en nuage, comme les comptes Wasabi S3 et MEGA.

Techniquement, le flux d'attaque documenté suit un schéma répétable: 1) Découverte de masse des dispositifs comportant des panneaux exposés ou des services de gestion; 2) Sélection des objectifs par produit et géolocalisation plutôt que par secteur(c'est-à-dire que le type de dispositif est plus important et est exposé que l'industrie de la victime); 3) exploitation par des vulnérabilités connues ou des références faibles et 4) extension de l'engagement au moyen d'outils administratifs et d'utilitaires d'évaluation pour voler les identifiants de Active Directory / LDAP, se déplacer latéralement et maintenir l'accès persistant. L'utilisation de profits légitimes (Impacket, Mimikatz, PetitPotam, Kerbrute, etc.) rend la détection difficile car elle génère une activité « non-malieuse » aux yeux de signatures simples.

Ceux qui sont touchés et pourquoi il importe: contrairement aux campagnes dirigées sur des organisations spécifiques, cette opération est large et opportuniste. Les opérateurs priorisent les dispositifs exposés et, par conséquent, toute entreprise qui a des pare-feu, des applications VPN ou WAF avec des interfaces administratives accessibles sur Internet est en danger - quel que soit son secteur. La corrélation avec les listes subséquentes dans les sites de filtration de groupes de ransomware (Qilin, Les Messieurs) suggère que certains accès peuvent finir par être vendus ou réutilisés par des opérateurs de ransomware, bien que la nature exacte de la relation entre k0t et ces groupes ne soit pas certifiée.

Observer les conséquences réelles: les identifiants LDAP et l'engagement braindumps, la présence de backdoors et d'agents d'administration à distance installés, et le vol de données vers des destinations cloud. Ces mesures peuvent entraîner l'espionnage, des fuites de propriété intellectuelle, une interruption opérationnelle (si un ransomware est déployé) et une perte de conformité réglementaire si des renseignements personnels sont filtrés. Les chercheurs soulignent également que, bien qu'il y ait chevauchement temporaire avec une autre campagne appelée FortiBleed, le chevauchement des données engagées est « négligeable », ce qui pourrait indiquer des ensembles de références ou des sous-ensembles d'opérateurs indépendants dans le même cadre d'activité illicite.

Ce qui est confirmé, ce qui est estimé et ce qui est incertain: il est confirmé qu'il y a eu exploitation des dispositifs exposés, l'utilisation des exploits et des outils susmentionnés, et l'exfiltration à Wasabi / MEGA. Il s'agit d'une estimation raisonnable, appuyée par des artefacts, que k0t agit comme un courtier d'accès initial ou comme une filiale (c.-à-d. pas nécessairement l'artiste final ansomware). Le lien contractuel ou opérationnel exact entre k0t et les groupes Ransomware listés est incertain : les enquêtes montrent une coïncidence avec la victime, mais pas une preuve publique de coordination directe ou de participation aux bénéfices.

Recommandations spécifiques et urgentes à l'intention des responsables de la sécurité : 1) Stock immédiat et exposition réduite. Identifiez toutes les applications frontalières (VPN, pare-feu, WAF) et vérifiez si vos ports administratifs sont accessibles depuis Internet. Utilisez la recherche défensive sur des moteurs tels que FOFA ou ZoomEye avec ses propres comptes pour découvrir vos actifs exposés et, si possible, supprimer l'accès public ou la limite par les listes IP. (FOFA: https: / / fofa.so ZoomEye: https: / / www.zoomeye.org).

2) Atténuation du lot et de la vulnérabilité. Appliquer immédiatement les correctifs officiels et les mesures d'atténuation pour les CV susmentionnés et toute autre vulnérabilité dans les applications réseau. Consultez les avis des fournisseurs (par exemple, Fortinet et Palo Alto Networks publient des alertes et des guides d'atténuation sur leurs portails de sécurité): Fortinet: https: / / www.fortinet.com / support / sécurité des produits / dispositifs de sécurité, Réseaux Palo Alto : https: / / security.paloaltonetworks.com.

3) Rotation des pouvoirs et durcissement. Désactiver les comptes administratifs exposés, forcer la rotation des pouvoirs privilégiés et permettre l'authentification multifactorielle pour l'accès administratif. Revoir et mettre en œuvre des mots de passe robustes et une politique de blocage après avoir échoué.

4) Détection et chasse des intrusions. Recherchez des indicateurs d'engagement : connexions OpenConnect non autorisées, processus / services associés à MeshCentral / Atera / Teramind / AnyDesk, exécutions Rclone, transferts à Wasabi ou MEGA et utilisation atypique des outils d'administration. Journal d'audit pour VPN, pare-feu et proxy; examinez les événements LDAP et Kerberos / NTLM pour les signes de PetitPotam / Kerbrute / Mimikatz. Implémentez des détections pour les commandes et l'invocation des scripts mentionnés ci-dessus si vous avez un terminal ou une télémétrie réseau.

5) Isolation et récupération. Si vous détectez l'engagement, isolez les hôtes touchés, retirez les identifiants engagés et examinez l'intégrité des contrôleurs de domaine et des sauvegardes. Envisager la restauration à partir de copies propres s'il y a un soupçon de persistance profonde. Documenter et conserver les preuves pour l'analyse médico-légale.

Enfin, bien que l'opération décrite accorde la priorité aux dispositifs exposés plutôt qu'aux industries particulières, leur ampleur et l'utilisation d'outils légitimes exigent des organisations qu'elles adoptent une approche proactive : inventaire continu de l'exposition du public, stationnement accéléré, forte authentification et surveillance de la télémétrie riche. Les équipes d'intervention devraient préparer des cahiers de lecture spécifiques pour les intrusions initiées par l'utilisation de dispositifs de bord et coordonner avec les fournisseurs et les autorités si des fuites de données ou des connexions sont identifiées avec des réseaux de ransomware.