k0t edge cihaz kampanyası Fortinet ve Palo Alto açıkları üzerinden 70.000'den fazla kimlik bilgisini açığa çıkardı

Group-IB ve NyxLab araştırmacıları, k0t olarak izlenen ve CryptoFeel, Member19 ile QazWsxShop adlarıyla da bilinen bir siber suç aktörünün, internete açık Fortinet ve Palo Alto Networks edge cihazlarını hedefleyen ve 70.000'den fazla kimlik bilgisinin açığa çıkmasına yol açan bir yıllık kampanyasını ortaya çıkardı. RedEye Threat Intelligence tarafından yayımlanan ve dev.to'da da paylaşılan yazıya göre ele geçirilen veriler arasında ağ cihazı girişleri ve LDAP dizin dökümleri yer alıyor. Aktör ilk kez 22 Ekim 2025'te gözlemlendi ve ihlallerin çoğu Şubat ile Haziran 2026 arasında gerçekleşti. Mağdur kuruluşların birçoğu daha sonra Qilin ve The Gentlemen fidye yazılımı operasyonlarının sızdırma sitelerinde ortaya çıktı.

İhlaller nasıl gelişiyor

Araştırmacılara göre k0t hedeflerini sektöre göre değil, ürüne ve konuma göre seçiyor ve internet genelinde arama yapan FOFA ve ZoomEye motorlarıyla açığa çıkan cihazları ölçekli biçimde numaralandırıyor. Raporda fortnew.py ve exploit_2026_0257.py olarak tanımlanan özel Python betikleri, Fortinet FortiWeb'de bir path traversal açığı olarak tanımlanan CVE-2025-64446 ile Palo Alto Networks PAN-OS ve Prisma Access'i etkileyen bir kimlik doğrulama atlatma açığı olan CVE-2026-0257'yi istismar ediyor. İstismar başarısız olursa aktör, yaygın kullanıcı adı ve parola çiftlerini kaba kuvvetle denemeye başvuruyor. (Yazının başlığında FortiGate geçiyor olsa da, atıf yapılan CVE raporun gövdesinde FortiWeb açığı olarak tanımlanıyor; kılavuz FortiGate, FortiWeb, PAN-OS GlobalProtect ve Prisma Access'i kapsıyor.)

Saldırgan olduktan sonra k0t bir OpenConnect VPN oturumu üzerinden bağlanıyor; böylece sonraki trafik, ağın zaten güvenilir bir uzak kullanıcı olarak gördüğü bir adresten geliyor. Aktör buradan Active Directory'yi, SMB paylaşımlarını ve yüklü antivirüs ürünlerini numaralandırıyor, ek kimlik bilgileri topluyor ve meşru uzaktan yönetim araçları — MeshCentral Agent, Atera, Teramind ve AnyDesk — ile açık kaynaklı AdaptixC2 rakip taklidi (adversary emulation) çerçevesini kullanarak kalıcılık sağlıyor. Çalınan veriler Rclone ile Wasabi S3 bucket'larına ve MEGA bulut sürücülerine aktarılıyor.

Yatay hareket ve yetki yükseltme, NetExec, SoftPerfect Network Scanner, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz gibi herkese açık yönetici ve pentest araçlarına dayanıyor. Saldırı sonrası araç setinin hiçbir parçası özel kötü amaçlı yazılım değil; araştırmacılara göre bu durum imza tabanlı tespiti zayıflatıyor.

Ölçek ve coğrafya

Mağdur dağılımı aktörün beyan ettiği tercihlerden çok açıklık yoğunluğunu izliyor: Mağdurların neredeyse yüzde 38'i Asya Pasifik'te, yüzde 31,9'u Latin Amerika'da, yüzde 15,8'i Avrupa'da ve yüzde 12,7'si Orta Doğu ve Kuzey Afrika'da yer alıyor. k0t karanlık web forumlarında istismar kodu, saldırı araçları ve premium FOFA ve ZoomEye hesapları arıyor ve en yüksek öncelik olarak Amerika Birleşik Devletleri ile Kanada'yı listeliyor — ancak gerçek mağdur dağılımı, kampanyanın tarayıcıların istismar edilebilir bulduğu her şey üzerinden ilerlediğini, edge donanımını daha yavaş yamayan bölgelerin ise faaliyetin daha fazlasını üstlendiğini gösteriyor.

LDAP dökümleri, ele geçirilen verilerin en zarar verici bileşeni. Dizin verisi, saldırgana yetki yükseltme planlamak için gereken kullanıcı kitlesini, grup üyeliklerini ve servis hesaplarını veriyor ve sistemler arasında yeniden kullanılan herhangi bir kimlik bilgisi, tek bir edge ihlalini alan genelinde erişime dönüştürebiliyor.

FortiBleed kesişimi

Şubat–Haziran 2026 zirvesi, Fortinet cihazlarına yönelik ayrı bir kimlik bilgisi toplama kampanyası olan FortiBleed ile aynı döneme denk geliyor; ancak Group-IB ve NyxLab iki ele geçirilmiş veri kümesi arasında pek kesişim bulamadı. İlişki belirsizliğini koruyor: k0t'un verileri bağımsız bir veri kümesi, operatörlerin bir alt kümesi veya daha geniş küme içinde ilgili bir erişim operasyonu olabilir. Pratik çıkarım şu: FortiBleed sonrası yapılan iyileştirme çalışmalarının bu kampanyayı da kapsadığı varsayılmamalı.

Operatörler ne yapmalı

İstismar edilen her iki açığın da üretici düzeltmesi var; ancak rapor belirli yamalı sürümleri adlandırmıyor, etkilenen sürümler Fortinet PSIRT ve Palo Alto Networks danışma belgelerinde listeleniyor. Yama, istismar yolunu kapatıyor ama halihazırda çalınmış kimlik bilgilerine veya kurulmuş kalıcılığa hiçbir şey yapmıyor; kaba kuvvet yolu ise tamamen yamalanmış olsa bile zayıf veya varsayılan parolalara sahip ve MFA kullanmayan cihazların hâlâ açıkta kaldığı anlamına geliyor.

Group-IB ve NyxLab, kuruluşlara her iki CVE'yi yamalamalarını, Şubat–Haziran 2026 döneminde yamasız kalan her internete açık cihazı potansiyel olarak ele geçirilmiş saymalarını, cihazdaki ve bağlı dizin hesaplarındaki kimlik bilgilerini döndürmelerini, yetkisiz RMM ajanlarını ve AdaptixC2 artefaktlarını aramalarını ve VPN erişiminde MFA'yı zorunlu kılmalarını öneriyor.

Neden önemli

Kampanya, mevcut edge cihaz ekonomisinin çalışan bir modeli: metin taraması, satın alınan istismarlar ve raf edilmiş araçlar, erişimin fidye yazılımı ekiplerine devredilmesiyle birlikte. Rapor, k0t'u sızdırma sitelerindeki mağdur kesişimi yoluyla Qilin ve The Gentlemen ile ilişkilendiriyor; ancak araştırmacılara göre aralarındaki tam ilişki çözümlenmiş değil. VPN köprübaşı meşru uzaktan erişim gibi göründüğünden, tespit girişten sonraki davranışlara odaklanmalı — Kerberos numaralandırması, PetitPotam zorlaması, yeni kurulan RMM ajanları ve Wasabi ya da MEGA'ya yapılan büyük Rclone aktarımları. Açıkta güvenlik duvarı veya VPN ağ geçidi çalıştıran herhangi bir kuruluş için yamasız bir sürüm veya tahmin edilebilir bir parola biriktirilecek bir iş değil; bir fidye yazılımı giriş noktasıdır.