حملة k0t تكشف عن 70,000 بيانات اعتماد جدار حماية على أجهزة Fortinet وPalo Alto

Group-IB وNyxLab اكتشفت أكثر من 70,000 بيانات اعتماد شبكية مرتبطة بحملة نفذتها مجموعة التهديدات السيبرانية k0t. ومع ذلك، لم يكتفِ القراصنة بسرقة بيانات الاعتماد فحسب، بل قاموا أيضاً بإنشاء أبواب خلفية للشبكات المؤسسية، مما يمنح مجموعات الفدية فرصاً جديدة للاختراق داخل أنظمة الشركات.

كانت بيانات الاعتماد مجرد نقطة دخول

اكتشف الباحثون بعض الأساليب التي استخدمها المهاجمون، مثل إساءة استخدام كلمات المرور على أجهزة FortiGate، واستغلال ثغرة CVE-2025-64446 التي تؤثر على FortiWeb، واستخدام ثغرة CVE-2026-0257 ضد بوابات Palo Alto GlobalProtect الضعيفة. تعمل هذه الأجهزة كدروع للشبكات المؤسسية وتوفر الوصول إليها عن بُعد، مما يجعلها أهدافًا مرغوبة لأولئك الذين يرغبون في اختراق أنظمة الشركات.

شملت البيانات المسروقة قوائم مجلدات LDAP. وبعد اختراق النظام، استخدم المهاجمون اتصالات VPN عبر OpenConnect، وتطبيقات الإدارة عن بُعد، وأداة AdaptixC2 للحفاظ على الوصول. تعرض بعض الضحايا لسرقة البيانات أيضًا. حدثت العديد من حالات اختراق أجهزة FortiGate بين فبراير ويونيو 2026.

بعد ذلك، ظهرت عدد من الضحايا على صفحات التسريب التابعة لمجموعات البرمجيات الخبيثة المعروفة باسم Qilin وThe Gentlemen. يشير هذا إلى أن k0t قد يستفيد من الوصول إلى الشبكات المخترقة، لكن الباحثين لم يتحققوا بعد من هذه الصلة.

إضافةً إلى ذلك، كانت الحملة ناجحة عبر منطقة آسيا والمحيط الهادئ، حيث انبعث 37.6% من جميع النطاقات الفريدة التي رُصدت منها. وعلى الرغم من ذلك، شدد الباحثون على أن هذا قد يشير فقط إلى عدد الأجهزة النشطة في آسيا، وليس بالضرورة إلى وجود تركيز خاص على الأهداف الآسيوية.

FortiBleed مشكلة منفصلة ولا تزال نشطة

في 6 أكتوبر 2026، حذرت إشعار صادر عن مكتب التحقيقات الفيدرالي وخدمة السرقة السرية من أن ثغرة FortiBleed لا تزال تشكل تهديدًا لجدران الحماية FortiGate وبوابات VPN عبر SSL. استخدم المهاجمون بيانات الاعتماد التي تمكنوا من الحصول عليها سابقًا، واستغلوا الأنظمة المعتمدة على وحدات معالجة الرسومات (GPU) لفك تشفير تجزئات كلمات المرور، وأنشأوا حسابات إدارية جديدة. وفي بعض الأحيان، تمكنوا من حظر ضحاياهم عن الدخول إلى أجهزتهم الخاصة.

انتشرت ثغرة FortiBleed في جميع أنحاء العالم. أكدت SOCRadar وجود أكثر من 86,644 جهازًا مخترقًا في 194 دولة. وقالت Fortinet إن المهاجمين أعادوا استخدام بيانات اعتماد تسجيل الدخول المسروقة وحاولوا تخمين كلمات المرور. ولم تتضمن هذه الحملة أي ثغرة جديدة تم الكشف عنها لدى شركة Fortinet.

على الرغم من أن مجموعة Group-IB وجدت تداخلًا ضئيلًا بين ثغرة FortiBleed وبيانات k0t المسروقة، إلا أنها لم تستبعد وجود صلة بين العمليتين. حتى الآن، لا توجد أدلة تشير إلى أن نفس المهاجمين وراء الحادثين. كما تمثل الأرقام جوانب مختلفة: حيث تشير 70,000 بيانات اعتماد خاصة بـ k0t مقابل 86,644 جهازًا متعلقًا بثغرة FortiBleed. وسيؤدي دمج هذه الأرقام إلى تشويه الصورة الكاملة لنطاق الأحداث.

من الوصول الأولي إلى برامج الفدية في 22 ثانية

أظهر تقرير فيرايزون 2026 Data Breach Investigations Report أن استغلال الثغرات الأمنية شكّل 31% من حوادث الاختراق، متقدّماً على الاعتمادات المسروقة كأكثر طرق الدخول شيوعاً. ومع ذلك، لم يتم إصلاح 26% فقط من الثغرات الحرجة المعروفة القابلة للاستغلال بشكل كامل، حيث بلغ متوسط الوقت اللازم لإصلاحها 43 يوماً.

يُعد هذا التأخير مثيراً للقلق بشكل خاص لأن المهاجمين يمكنهم استغلال الثغرات قبل توفر التصحيحات. وقد قدّر Mandiant’s M-Trends 2026 متوسط وقت الاستغلال بـ سبعة أيام ناقصة، ما يشير إلى أن الهجمات غالباً ما تبدأ قبل إصدار الإصلاحات. وتُعد الأجهزة الشبكية مثل بوابات VPN والموجهات صعبة المراقبة بشكل خاص لأنها تفتقر غالباً إلى أدوات أمن نقاط النهاية القياسية.

بمجرد حصول المهاجمين على الوصول، يمكن للتهديد أن يتصاعد بسرعة. وجدت Mandiant أن الوقت الوسيط بين الاختراق الأولي والتسليم إلى مجموعة إجرامية أخرى انخفض من أكثر من ثماني ساعات في عام 2022 إلى مجرد 22 ثانية في عام 2025.

التهديد واضح بالفعل. ففي تحديث بتاريخ 19 أكتوبر، أفاد Unit 42 بمحاولات استغلال CVE-2026-0257 من قِبل مشغلي برامج الفدية Qilin وInc. كما لاحظ تقارير منفصلة تتعلق بـ Settra. ومع ذلك، لم يجد التحقيق السابق أي دليل على أن المهاجمين تمكنوا من التوغّل أعمق داخل الشبكات المتأثرة.

ما يعنيه ذلك للبنية التحتية المالية والعملات المشفرة

أظهرت دراسة IBM أن 62% من هجمات الذكاء الاصطناعي المبلغ عنها استهدفت البنية التحتية الحيوية. وبلغ متوسط الخسائر الناجمة عن اختراقات الخدمات المالية 6.3 مليون دولار. وحذرت IMF أيضاً في أكتوبر من أن التهديدات الإلكترونية قد تصبح منهجية مع تزايد ترابط الشبكات المالية. وتواجه شركات العملات الرقمية مخاطر مماثلة نتيجة للوصول المخترق. وذكرت Cryptopolitan خسائر تقارب 2 مليون دولار تتعلق بـ Fetch.ai وNuNet في سبتمبر 2026. وشملت تلك الحوادث اعتمادات توقيع مخترقة، وليس وصول VPN، ولا توجد علاقة مثبتة بينها وبين k0t.