La campagne k0t expose 70 000 identifiants de pare-feu sur les équipements Fortinet et Palo Alto

Group-IB et NyxLab ont découvert plus de 70 000 identifiants réseau liés à une campagne menée par le groupe de menace cybernétique k0t. Cependant, les pirates n’ont pas seulement volé des identifiants de compte. Ils ont également créé des portes dérobées dans les réseaux d’entreprise, offrant ainsi de nouvelles opportunités aux groupes de rançongiciels pour infiltrer les systèmes des entreprises.

Les identifiants n'étaient que le point d'entrée

Les chercheurs ont découvert certaines des méthodes utilisées par les attaquants, telles que l'abus de mots de passe sur les appareils FortiGate, l'exploitation de la vulnérabilité CVE-2025-64446 affectant FortiWeb, et l'utilisation de la CVE-2026-0257 contre les passerelles Palo Alto GlobalProtect vulnérables. Ces appareils agissent comme des boucliers pour les réseaux d'entreprise et en accordent l'accès à distance, ce qui en fait des cibles prisées pour ceux qui souhaitent s'introduire dans les systèmes des entreprises.

Les données volées comprenaient des extraits complets du répertoire LDAP. Une fois dans le système, les attaquants ont utilisé des connexions VPN OpenConnect, des applications de gestion à distance et AdaptixC2 pour maintenir leur accès. Certaines victimes ont également subi des vols de données. De nombreux cas de compromission de FortiGate se sont produits entre février et juin 2026.

Par la suite, plusieurs victimes sont apparues sur les pages de fuite appartenant aux groupes de rançongiciels connus sous les noms Qilin et The Gentlemen. Cela suggère que k0t pourrait tirer profit de l'accès aux réseaux compromis, mais les chercheurs n'ont pas encore vérifié ce lien.

De plus, la campagne a connu un succès en Asie-Pacifique, où 37,6 % de tous les domaines uniques observés sont originaires. Malgré cela, les chercheurs ont souligné que cela pourrait simplement indiquer le nombre d'appareils actifs en Asie, et non nécessairement une cible particulière des cibles asiatiques.

FortiBleed est un problème distinct, toujours actif

Le 6 octobre 2026, un avertissement émis par le FBI et le Secret Service a mis en garde contre le fait que FortiBleed représente toujours une menace pour les pare-feux FortiGate et les passerelles VPN SSL. Les attaquants ont utilisé les identifiants qu'ils avaient obtenus précédemment, exploité des systèmes basés sur le GPU pour décoder les hachages de mots de passe et créé de nouveaux comptes administrateur. Ils ont parfois réussi à verrouiller leurs victimes hors de leurs propres appareils.

FortiBleed s'est propagé dans le monde entier. SOCRadar a vérifié plus de 86 644 appareils compromis dans 194 pays. Fortinet a indiqué que les attaquants ont réutilisé les identifiants de connexion volés et ont tenté de deviner les mots de passe. La campagne n'a pas impliqué une nouvelle vulnérabilité Fortinet divulguée.

Bien que Group-IB ait constaté peu de chevauchement entre FortiBleed et les données volées par k0t, il n'a pas exclu un lien entre ces opérations. À ce jour, aucune preuve ne suggère que les mêmes attaquants soient derrière ces deux incidents. Les chiffres représentent également des réalités différentes : les 70 000 identifiants de k0t par rapport aux 86 644 appareils de FortiBleed. Combiner ces chiffres fausserait l'échelle réelle des événements.

De l'accès initial au rançongiciel en 22 secondes

Le Rapport 2026 sur les enquêtes relatives aux violations de données de Verizon révèle que l’exploitation des vulnérabilités a représenté 31 % des violations, dépassant les identifiants volés comme principale méthode d’infiltration. Pourtant, seuls 26 % des vulnérabilités critiques et connues pour être exploitées ont été entièrement corrigées, le délai médian pour y remonter atteignant 43 jours.

Ce retard est particulièrement préoccupant car les attaquants peuvent exploiter les vulnérabilités avant même la disponibilité des correctifs. M-Trends 2026 de Mandiant évalue le délai moyen d’exploitation à moins sept jours, indiquant que les attaques débutent souvent avant la publication des correctifs. Les équipements réseau tels que les passerelles VPN et les routeurs sont particulièrement difficiles à surveiller, car ils manquent souvent d’outils de sécurité de point de terminaison standard.

Une fois que les attaquants ont obtenu l'accès, la menace peut s'aggraver rapidement. Mandiant a constaté que le temps médian entre une violation initiale et la transmission à un autre groupe criminel est passé de plus de huit heures en 2022 à seulement 22 secondes en 2025.

La menace est déjà évidente. Dans une mise à jour du 19 octobre, Unit 42 a signalé des tentatives d’exploitation de CVE-2026-0257 par des opérateurs de rançongiciels Qilin et Inc. Elle a également fait état de rapports distincts impliquant Settra. Toutefois, son enquête précédente n’a révélé aucune preuve que les attaquants s’étaient avancés plus profondément dans les réseaux affectés.

Ce que cela signifie pour les infrastructures financières et cryptographiques

IBM a révélé que 62 % des attaques basées sur l’IA signalées ciblaient les infrastructures critiques. Les violations de données dans le secteur financier ont coûté en moyenne 6,3 millions de dollars. Le FMI a également mis en garde en octobre, soulignant que les cybermenaces pourraient devenir systémiques à mesure que les réseaux financiers deviennent plus interconnectés. Les entreprises de cryptomonnaies font face à des risques similaires liés aux accès compromis. Cryptopolitan rapporte environ 2 millions de dollars de pertes impliquant Fetch.ai et NuNet en septembre 2026. Ces incidents concernaient des identifiants de signature compromis, et non un accès VPN, et n’ont aucun lien établi avec k0t.