Siber güvenlik araştırmacıları, Fortinet FortiGate ve Palo Alto Networks GlobalProtect güvenlik duvarları gibi açık ağ kenar cihazlarını hedef alan büyük ölçekli bir kampanyanın ayrıntılarını açıkladı.
Group-IB ve NyxLab tarafından yayımlanan ortak araştırmaya göre, "Bu soruşturmadaki bulgular, kampanya operatörlerinin dünya genelinde çok sayıda kuruluşa erişim sağladığını ve bazı mağdurları daha da tehlikeye atmaya çalıştığını, bunun sonucunda kalıcı uzaktan erişim ve veri sızıntısı oluştuğunu gösteriyor."
Yaygın istismar faaliyeti, k0t olarak bilinen ve CryptoFeel, Member19 ve QazWsxShop takma adlarını da kullanan bir tehdit aktörüne bağlandı. Siber suçlu ilk kez 22 Ekim 2025'te tespit edildi.
Tehdit aktörünün Qilin ve The Gentlemen gibi fidye yazılımı gruplarıyla bağlantısı olduğu değerlendiriliyor; muhtemelen ilk erişim aracısı ya da bir iştirak olarak faaliyet gösteriyor. Tehdit aktörünün karanlık ağdaki faaliyetlerinin analizi, FOFA ve ZoomEye gibi meta veri arama motorları için güvenlik açığı istismar kodu ve araçları ya da premium hesaplar satın alma konusunda yoğun ilgi gösterdiğini ortaya koyuyor.
Kampanyanın mağdurları küresel ölçekte ve açık ağ cihazlarının seçici olmayan hedef alınmasından dolayı geniş bir sektör yelpazesine yayılıyor. İhlallerin önemli bir kısmının Şubat-Haziran 2026 arasında gerçekleştiği belirtiliyor; bu dönem FortiBleed kod adlı başka bir kimlik bilgisi toplama kampanyasıyla da örtüşüyor.
Mağdurların yaklaşık yüzde 38'i Asya-Pasifik bölgesinde yoğunlaşıyor, ardından yüzde 31,9 ile Latin Amerika, yüzde 15,8 ile Avrupa ve yüzde 12,7 ile Orta Doğu ve Kuzey Afrika geliyor.
Saldırı zinciri şu şekilde işliyor:
FOFA ve ZoomEye gibi açık tarama araçlarıyla keşif yaparak internete bakan VPN ve güvenlik duvarı cihazlarını listele, adayları ürün bazında filtrele ve potansiyel olarak savunmasız kenar cihazlarından hedef listeleri oluştur.
FortiWeb'deki bir yol geçiş açığı olan CVE-2025-64446 ve Palo Alto Networks PAN-OS ile Prisma Access'te kimlik doğrulama atlama açığı olan CVE-2026-0257 gibi bilinen güvenlik açıklarını "fortnew.py" ve "exploit_2026_0257.py" adlı özel Python betikleriyle istismar etmeye çalış ya da yaygın kullanıcı adı ve parola kombinasyonlarıyla kaba kuvvet saldırısı yaparak ilk erişimi sağla.
Hedeflerde OpenConnect VPN bağlantısıyla tutunma sağla.
Active Directory, SMB ve yüklü antivirüs çözümü gibi alanlarda numaralandırma yaparak sonrasındaki istismar faaliyetlerini yürüt ve ek kimlik bilgisi çal.
MeshCentral Agent, Atera, Teramind ve AnyDes gibi meşru uzaktan erişim araçlarıyla ve AdaptixC2 olarak bilinen açık kaynaklı, karşı taraf taklit çerçevesiyle birlikte ana bilgisayarda kalıcılık sağla.
Toplanan verileri Rclone kullanarak Wasabi S3 depolarına ve MEGA bulut sürücülerine sızdır.
Saldırılar, mağdurların kurumsal ortamlarına daha derinden nüfuz etmek için NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz gibi meşru yönetici ve pentest araçlarının kullanımıyla da karakterize ediliyor.
Group-IB ve NyxLab araştırmacıları, "k0t, bireysel kuruluşları araştırmak yerine büyük ölçekte açık ağ cihazlarını numaralandırarak potansiyel hedefleri seçiyor gibi görünüyor" dedi. "Belirttiği coğrafi öncelikleri ABD ve Kanada ile başlıyor, ardından Avrupa ülkeleri ve seçili APAC pazarları geliyor."
"Bu nedenle açık bir cihazın ürünü ve konumu, onu işleten kuruluşun sektöründen daha önemli görünüyor; bu durum kampanyada gözlenen geniş mağdur yelpazesiyle tutarlı."
k0t'un Qilin ve The Gentlemen ile bağlantısı, kampanyanın birçok mağdurunun daha sonra fidye yazılımı grupları tarafından veri sızdırma sitelerinde listelenmesinden kaynaklanıyor. Ancak tehdit ile bu çeteler arasındaki bağlantının kesin mahiyeti net değil.
Ayrıca Group-IB ve NyxLab, bu faaliyet ile FortBleed arasında ele geçirilen verilerde "önemsiz bir örtüşme" bulduklarını söyledi. Kampanya bağlantılı olarak ağ cihazları ve LDAP dökümleriyle ilişkili 70 binden fazla açık kimlik bilgisi tespit edildi.
Araştırmacılar, "Bu durum, FortiBleed faaliyet kümesinde birçok operatörün yer alabileceğine dair raporlarla uyumlu; bu durumun daha geniş FortiBleed bağlantılı faaliyet içinde ayrı bir veri kümesi, operatör alt kümesi ya da ilgili bir erişim operasyonu olabileceğini düşündürüyor" dedi. "Kuruluşların bu raporda bahsedilen güvenlik açıklarının uygun şekilde giderilmesini sağlamaları öneriliyor."
