La campagna k0t espone 70.000 credenziali firewall su dispositivi Fortinet e Palo Alto

Group-IB e NyxLab hanno scoperto oltre 70.000 credenziali di rete collegate a una campagna del gruppo di minacce informatiche k0t. Tuttavia, gli hacker non si sono limitati a rubare le credenziali degli account. Hanno anche creato backdoor nelle reti aziendali, offrendo nuove opportunità ai gruppi ransomware per infiltrarsi nei sistemi delle società.

Le credenziali erano solo il punto di ingresso

I ricercatori hanno scoperto alcuni dei metodi utilizzati dagli aggressori, come l'abuso delle password sui dispositivi FortiGate, lo sfruttamento della vulnerabilità CVE-2025-64446 che colpisce FortiWeb e l'uso della CVE-2026-0257 contro i gateway Palo Alto GlobalProtect vulnerabili. Questi dispositivi fungono da scudi per le reti aziendali e ne concedono l'accesso remoto, il che li rende obiettivi desiderati per chi vuole infiltrarsi nei sistemi aziendali.

I dati rubati includevano dump directory LDAP. Dopo aver ottenuto l'accesso al sistema, gli aggressori hanno utilizzato connessioni VPN OpenConnect, applicazioni di gestione remota e AdaptixC2 per mantenere l'accesso. Alcune vittime sono state soggette anche a furto di dati. Molti casi di compromissione di FortiGate si sono verificati tra febbraio e giugno 2026.

Successivamente, un certo numero di vittime è apparso sulle pagine di leak appartenenti ai gruppi ransomware noti come Qilin e The Gentlemen. Questo suggerisce che k0t potrebbe trarre profitto dall'accesso alle reti compromesse, ma i ricercatori devono ancora verificare questo collegamento.

Inoltre, la campagna ha avuto successo in Asia-Pacifico, dove il 37,6% di tutti i domini unici osservati ha origine. Nonostante ciò, i ricercatori hanno sottolineato che questo potrebbe semplicemente indicare il numero di dispositivi attivi in Asia e non necessariamente un focus speciale sui bersagli asiatici.

FortiBleed è un problema separato ancora attivo

Il 6 ottobre 2026, un avviso emesso dall'FBI e dal Secret Service ha messo in guardia sul fatto che FortiBleed rappresenta ancora una minaccia per i firewall FortiGate e i gateway SSL VPN. Gli aggressori hanno utilizzato le credenziali ottenute in precedenza, sfruttato sistemi basati su GPU per decodificare gli hash delle password e creato nuovi account amministrativi. A volte sono riusciti a bloccare le vittime fuori dai propri dispositivi.

FortiBleed si è diffuso in tutto il mondo. SOCRadar ha verificato oltre 86.644 dispositivi compromessi in 194 paesi. Fortinet ha dichiarato che gli aggressori hanno riutilizzato le credenziali di accesso rubate e hanno tentato di indovinare le password. La campagna non ha coinvolto una nuova vulnerabilità Fortinet appena divulgata.

Sebbene Group-IB abbia riscontrato poca sovrapposizione tra FortiBleed e i dati rubati da k0t, non ha escluso un collegamento tra le due operazioni. Finora, non ci sono prove che suggeriscano che gli stessi autori siano responsabili di entrambi gli incidenti. Le cifre rappresentano inoltre aspetti diversi: le 70.000 credenziali di k0t rispetto ai 86.644 dispositivi di FortiBleed. Combinare questi dati distorcerebbe la reale entità degli eventi.

Dall'accesso iniziale al ransomware in 22 secondi

Il Report 2026 sulle Investigazioni delle Violazioni dei Dati di Verizon ha rilevato che lo sfruttamento delle vulnerabilità ha rappresentato il 31% delle violazioni, superando le credenziali rubate come principale metodo di accesso. Tuttavia, solo il 26% delle vulnerabilità critiche e note per essere sfruttate è stato completamente risolto, con un tempo mediano di correzione pari a 43 giorni.

Questo ritardo è particolarmente preoccupante perché gli attaccanti possono sfruttare le vulnerabilità prima che diventino disponibili le patch. M-Trends 2026 di Mandiant ha stimato un tempo medio di sfruttamento negativo di sette giorni, indicando che gli attacchi spesso iniziavano prima del rilascio delle correzioni. I dispositivi di rete, come i gateway VPN e i router, sono particolarmente difficili da monitorare poiché spesso mancano degli strumenti standard di sicurezza endpoint.

Una volta che gli attaccanti ottengono l'accesso, la minaccia può escalare rapidamente. Mandiant ha rilevato che il tempo mediano tra una violazione iniziale e il passaggio a un altro gruppo criminale è passato da oltre otto ore nel 2022 a soli 22 secondi nel 2025.

La minaccia è già evidente. In un aggiornamento del 19 ottobre, Unit 42 ha segnalato tentativi di sfruttamento della CVE-2026-0257 da parte di operatori ransomware Qilin e Inc. Ha inoltre riferito di casi separati coinvolti Settra. Tuttavia, indagini precedenti non hanno trovato prove che gli attaccanti si fossero spinti più a fondo nelle reti colpite.

Cosa significa per le infrastrutture finanziarie e crittografiche

IBM ha rilevato che il 62% degli attacchi guidati dall'IA segnalati hanno preso di mira le infrastrutture critiche. Le violazioni nel settore dei servizi finanziari hanno avuto un costo medio di 6,3 milioni di dollari. Anche l'IMF ha lanciato un avvertimento a ottobre, sottolineando come le minacce informatiche potrebbero diventare sistemiche man mano che le reti finanziarie diventano sempre più interconnesse. Le aziende crypto affrontano rischi simili derivanti da accessi compromessi. Cryptopolitan ha riportato perdite per circa 2 milioni di dollari coinvolgenti Fetch.ai e NuNet a settembre 2026. Questi incidenti hanno riguardato credenziali di firma compromesse, non l'accesso VPN, e non esiste alcun collegamento stabilito con k0t.