Campanha do k0t explora dispositivos de borda expostos para roubar credenciais e mover

Pesquisadores de cibersegurança documentaram uma campanha em grande escala que explora dispositivos de borda de rede expostos — em particular appliances de VPN e firewalls — para obter acesso inicial e mover-se lateralmente dentro de redes corporativas. O ator atribuído a esta atividade opera sob o alias k0t (também conhecido como CryptoFeel, Member19 e QazWsxShop) e, segundo a pesquisa conjunta do Group-IB e NyxLab, teria começado a ser visível desde 22 de outubro de 2025. Os pesquisadores relatam compromissos concentrados entre fevereiro e junho de 2026, com mais de 70.000 credenciais expostas e vítimas distribuídas globalmente, predominando Ásia-Pacífico (≈38%), América Latina (≈31,9%), Europa (≈15,8%) e MANA (≈12,7%).

Fatos confirmados: a campanha apoia-se em reconhecimento massivo de dispositivos acessíveis da Internet por meio de motores de busca da internet-of-things e serviços de metadata (mencionados no relatório: FOFA e ZoomEye), explora vulnerabilidades públicas em equipamentos específicos (incluindo CVE-2025-64446 e CVE-2026-0257 segundo o relatório) e utiliza tanto exploits personalizados (por exemplo, scripts denominados "fortnew.py" e "exploit_2026_0257.py") como ataques de força bruta para obter credenciais. Após a intrusão inicial, os atacantes estabelecem um túnel VPN OpenConnect, roubam credenciais e dados, exibem ferramentas legítimas de gerenciamento remoto para persistência (MeshCentral Agent, Atera, Teramind, AnyDesk) e frameworks de emulação/adversario (AdaptixC2), e exfiltran informações usando Rclone para armazenamento na nuvem como Wasabi S3 e contas de MEGA.

Tecnicamente, o fluxo de ataque documentado segue um padrão repetivel: 1) descoberta em massa de dispositivos com painéis ou serviços management expostos; 2) selecção de objectivos por produto e geolocalização em vez de por sector(ou seja, importam mais o tipo de dispositivo e se a indústria da vítima for exposta); 3) exploração por vulnerabilidades conhecidas ou credenciais fracas; e 4) ampliação do compromisso através de ferramentas administrativas e utilitários de pentesting para roubar credenciais Active Directory/LDAP, mover-se lateralmente e manter acesso persistente. O uso de utilitários legítimos (Impacket, Mimikatz, PetitPotam, Kerbrute, etc.) dificulta a detecção porque gera atividade “não maliciosa” aos olhos de assinaturas simples.

Quem é afectado e porque importa: ao contrário de campanhas dirigidas a organizações concretas, esta operação é ampla e oportunista. Os operadores priorizam dispositivos expostos e, portanto, qualquer empresa que tenha firewalls, appliances VPN ou WAF com interfaces administrativas acessíveis da Internet corre risco — independentemente do seu setor. A correlação com listados posteriores em sites de filtragem de grupos de ransomware (Qilin, The Gentlemen) sugere que alguns acessos podem acabar se vendendo ou sendo reutilizados por operadores de ransomware, embora a natureza exata da relação entre k0t e esses grupos não esteja certificada.

Consequências reais observáveis: compromisso de credenciais e dumps de LDAP, presença de backdoors e agentes de administração remota instalados, e roubo de dados para destinos na nuvem. Essas ações podem derivar em espionagem, fuga de propriedade intelectual, interrupção operacional (se se desdobra ransomware) e perda de cumprimento regulatório se houver vazamento de informações pessoais. Os pesquisadores também apontam que, embora haja sobreposição temporária com outra campanha chamada FortiBleed, a sobreposição de dados comprometidos é “negligível”, o que poderia indicar conjuntos de credenciais ou subconjuntos de operadores independentes dentro de uma mesma guarda de atividade ilícita.

O que está confirmado, o que é estimado e o que é incerto: está confirmado que houve exploração de dispositivos expostos, a utilização dos exploits e ferramentas mencionadas, e a exfiltração para Wasabi/MEGA. É uma estimativa razoável, apoiada por artefatos, que k0t atue como corretor de acesso inicial ou como afiliado (ou seja, não necessariamente executor final do ransomware). É incerto o vínculo contratual ou operacional exato entre k0t e os grupos de ransomware listados: pesquisas mostram coincidência de vítimas, mas não provas públicas de coordenação direta ou de partilha de lucros.

Recomendações concretas e urgentes para administradores e responsáveis pela segurança: 1) Inventário imediato e redução da exposição. Identifique todos os appliances de borda (VPN, firewalls, WAF) e verifique se seus portos administrativos estão acessíveis da Internet. Use a busca defensiva em motores como FOFA ou ZoomEye com contas próprias para descobrir seus ativos expostos e, se possível, retire o acesso público ou limite por listas de IP. (FOFA: https://fofa.so, ZoomEye: https://www.zoomeye.org).

2) Parcheo e mitigação de vulnerabilidades. Aplique imediatamente os adesivos e mitigações oficiais para os CVE citados e qualquer outra vulnerabilidade em appliances de rede. Veja os avisos dos fornecedores (por exemplo, Fortinet e Palo Alto Networks publicam alertas e guias de mitigação em seus portais de segurança): Fortinet: https://www.fortinet.com/support/product-security/security-advisories, Palo Alto Networks: https://security.paloaltonetworks.com.

3) Rotação de credenciais e endurecimento. Desactive contas administrativas expostas, foirce rotação de credenciais privilegiadas e habilite autenticação multifator para acessos administrativos. Verifique e aplique políticas de senhas robustas e bloqueio após tentativas fracassadas.

4) Detecção e caça de invasões. Procure indicadores de compromisso: ligações de OpenConnect não autorizadas, processos/serviços associados a MeshCentral/Atera/Teramind/AnyDesk, execuções de Rclone, transferências para Wasabi ou MEGA e uso atípico de ferramentas de administração. Audite logs de VPN, firewalls e proxys; examine dumps LDAP e eventos de Kerberos/NTLM para sinais de PetitPotam/Kerbrute/Mimikatz. Implemente detecções para comandos e invocações dos scripts citados se tiver telemetria de endpoint ou de rede.

5) Isolamento e recuperação. Se detectar compromisso, isole os hosts afetados, revoque credenciais comprometidas e verifique a integridade de controladores de domínio e backups. Considere a restauração de cópias limpas se houver suspeita de persistência profunda. Documente e preserve evidências para análise forense.

Finalmente, embora a operação descrita prioriza dispositivos expostos mais do que indústrias concretas, sua escala e uso de ferramentas legítimas requerem que as organizações assumam uma abordagem pró-ativa: inventário contínuo da exposição pública, adesivo acelerado, autenticação forte e monitoramento de telemetria rica. Os equipamentos de resposta devem preparar playbooks específicos para intrusões iniciadas por exploração de dispositivos de borda e coordenar com fornecedores e autoridades se forem identificados vazamentos de dados ou conexões com redes de ransomware.