Oltre 70.000 credenziali esposte: k0t mantiene accessi persistenti
Group-IB e NyxLab attribuiscono a k0t una campagna contro dispositivi Fortinet e Palo Alto Networks che ha esposto oltre 70.000 credenziali, consentito il furto di dati e lasciato accessi persistenti.
Gli operatori hanno sfruttato vulnerabilità note nei dispositivi esposti a Internet oppure provato credenziali comuni. Una volta dentro, il dispositivo di rete può diventare il punto d’ingresso per una connessione VPN che resta attiva anche dopo la compromissione iniziale. La campagna ha coinvolto FortiGate, FortiWeb e GlobalProtect.
L’attività si sovrappone temporalmente a FortiBleed, ma Group-IB e NyxLab non chiariscono se i dati di credenziali e LDAP appartengano a una raccolta separata o a un sottoinsieme degli operatori. Per chi ricostruisce l’esposizione, correggere le falle non basta a determinare se l’accesso sia persistito né quali credenziali siano legate alle due attività.