k0t-Kampagne legt 70.000 Firewall-Zugangsdaten auf Fortinet- und Palo-Alto-Geräten offen

Group-IB und NyxLab entdeckten mehr als 70.000 Netzwerk-Anmeldeinformationen, die mit einer Kampagne der Cyber-Bedrohungsgruppe k0t verknüpft waren. Die Hacker stahlen jedoch nicht nur Kontozugangsdaten. Sie schufen auch Hintertüren in Unternehmensnetzwerken, was Ransomware-Gruppen neue Möglichkeiten zur Infiltration von Firmensystemen eröffnet.

Anmeldeinformationen waren lediglich der Einstiegspunkt

Die Forscher entdeckten einige der von den Angreifern verwendeten Methoden, wie etwa die Ausnutzung von Passwörtern auf FortiGate-Geräten, die Ausnutzung der CVE-2025-64446-Sicherheitslücke in FortiWeb sowie die Nutzung von CVE-2026-0257 gegen verwundbare Palo Alto GlobalProtect-Gateways. Diese Geräte fungieren als Schutzschilde für Unternehmensnetzwerke und gewähren den Remote-Zugriff darauf, was sie zu begehrten Zielen für diejenigen macht, die in Firmensysteme eindringen möchten.

Zu den gestohlenen Daten gehörten LDAP-Verzeichnis-Dumps. Nach dem Eindringen in das System nutzten die Angreifer OpenConnect-VPN-Verbindungen, Remote-Management-Anwendungen und AdaptixC2, um den Zugriff aufrechtzuerhalten. Bei einigen Opfern kam es ebenfalls zu Datendiebstahl. Viele Fälle von kompromittierten FortiGate-Geräten traten zwischen Februar und Juni 2026 auf.

Anschließend tauchten eine Reihe von Opfern auf den Leak-Seiten der Ransomware-Gruppen Qilin und The Gentlemen auf. Dies deutet darauf hin, dass k0t möglicherweise vom Zugang zu kompromittierten Netzwerken profitiert, doch diese Verbindung ist von den Forschern noch nicht bestätigt worden.

Darüber hinaus war die Kampagne in der Region Asien-Pazifik erfolgreich, woher 37,6 % aller beobachteten einzigartigen Domänen stammen. Trotz dessen betonten die Forscher, dass dies lediglich auf die Anzahl der in Asien aktiven Geräte hinweisen könnte und nicht unbedingt auf ein besonderes Augenmerk auf asiatische Ziele.

FortiBleed ist ein separates, weiterhin aktives Problem

Am 6. Oktober 2026 warnte eine von FBI und Secret Service herausgegebene Advisory davor, dass FortiBleed weiterhin eine Bedrohung für die FortiGate-Firewalls und die SSL-VPN-Gateways darstellt. Die Angreifer nutzten die zuvor erbeuteten Zugangsdaten, setzten GPU-basierte Systeme ein, um Passwort-Hashes zu entschlüsseln, und legten neue Admin-Konten an. Manchmal gelang es ihnen sogar, ihre Opfer von ihren eigenen Geräten auszuschließen.

FortiBleed hat sich weltweit ausgebreitet. SOCRadar bestätigte mehr als 86.644 kompromittierte Geräte in 194 Ländern. Fortinet gab an, dass Angreifer gestohlene Login-Daten wiederverwendeten und versuchten, Passwörter zu erraten. Die Kampagne hatte nichts mit einer neu bekannt gewordenen Schwachstelle bei Fortinet zu tun.

Obwohl Group-IB nur geringe Überschneidungen zwischen FortiBleed und den gestohlenen Daten von k0t feststellte, schließt sie einen Zusammenhang zwischen den Operationen nicht aus. Bisher gibt es keine Hinweise darauf, dass dieselben Angreifer hinter beiden Vorfällen stecken. Zudem repräsentieren die Zahlen unterschiedliche Größenordnungen: 70.000 Credentials von k0t im Gegensatz zu 86.644 betroffenen Geräten durch FortiBleed. Eine Addition dieser Werte würde das tatsächliche Ausmaß der Ereignisse verfälschen.

Vom initialen Zugang bis zur Ransomware in 22 Sekunden

Verizons 2026 Data Breach Investigations Report ergab, dass die Ausnutzung von Schwachstellen 31 % der Sicherheitsvorfälle ausmachte und damit gestohlene Zugangsdaten als führende Eintrittsart überholte. Dennoch wurden nur 26 % der kritischen, bekanntermaßen ausnutzbaren Schwachstellen vollständig behoben; die mediane Zeit bis zur Behebung belief sich auf 43 Tage.

Diese Verzögerung ist besonders besorgniserregend, da Angreifer Schwachstellen ausnutzen können, bevor Patches verfügbar sind. Mandiant’s M-Trends 2026 schätzte eine durchschnittliche Exploit-Zeit von minus sieben Tagen, was darauf hindeutet, dass Angriffe oft begannen, bevor Fixes veröffentlicht wurden. Netzwerkkomponenten wie VPN-Gateways und Router sind aufgrund des häufig fehlenden Einsatzes standardmäßiger Endpoint-Security-Tools besonders schwer zu überwachen.

Sobald Angreifer Zugriff erlangt haben, kann sich die Bedrohung schnell eskalieren. Mandiant stellte fest, dass die Medianzeit zwischen einem ersten Eindringen und der Übergabe an eine andere kriminelle Gruppe von mehr als acht Stunden im Jahr 2022 auf nur noch 22 Sekunden im Jahr 2025 sank.

Die Bedrohung zeigt bereits konkrete Auswirkungen. In einem Update vom 19. Oktober meldete Unit 42 versuchte Ausnutzungen von CVE-2026-0257 durch Qilin- und Inc-Ransomware-Betreiber. Zudem wurden separate Berichte im Zusammenhang mit Settra vermerkt. Eine frühere Untersuchung ergab jedoch keine Anhaltspunkte dafür, dass Angreifer tiefer in die betroffenen Netzwerke eingedrungen waren.

Was das für Finanz- und Krypto-Infrastruktur bedeutet

IBM hat festgestellt, dass 62 % der gemeldeten KI-gesteuerten Angriffe kritische Infrastrukturen zielten. Finanzdienstleister erlitten im Durchschnitt Schäden in Höhe von 6,3 Millionen US-Dollar. Auch der IMF warnte im Oktober davor, dass Cyberbedrohungen systemisch werden könnten, da Finanznetzwerke zunehmend vernetzt sind. Krypto-Unternehmen sehen sich ähnlichen Risiken durch kompromittierte Zugänge ausgesetzt. Cryptopolitan berichtete über Verluste in Höhe von rund 2 Millionen US-Dollar im Zusammenhang mit Fetch.ai und NuNet im September 2026. Diese Vorfälle betrafen kompromittierte Signierungsanmeldeinformationen, nicht den VPN-Zugang, und stehen in keinem nachgewiesenen Zusammenhang mit k0t.