A Group-IB, em relatório publicado em 21 de outubro com a NyxLab, descreveu uma campanha atribuída a um operador conhecido como k0t contra firewalls e portais de VPN expostos na internet. O conjunto reunido pelos operadores passa de 70 mil credenciais, entre acessos a equipamentos de rede e extrações de diretórios LDAP.
Os pesquisadores ressalvam que o total não confirma comprometimento bem-sucedido em cada registro. O relatório contabiliza 84 equipamentos comprometidos em 28 grupos ativos de um servidor MeshCentral e não fecha um número de organizações afetadas, tratando os domínios únicos como piso.
O acesso inicial veio por duas falhas. No FortiWeb, a CVE-2025-64446, de travessia de diretório, foi usada para criar uma conta de administrador. No GlobalProtect da Palo Alto, a CVE-2026-0257 permitiu desvio de autenticação com cookie forjado. Os FortiGate, que não são vulneráveis à falha do FortiWeb, foram atacados por força bruta de senhas comuns.
Com acesso ao FortiGate, os operadores baixaram o arquivo de configuração e recuperaram segredos armazenados usando a chave padrão de criptografia do FortiOS, registrada como CVE-2019-6693. Para chegar a administrador de domínio, o relatório descreve o encadeamento conhecido como noPac.
A permanência foi mantida com MeshCentral, o framework AdaptixC2 e ferramentas legítimas de administração remota, entre elas Atera, AnyDesk e ngrok. A extração de dados usou o Rclone para armazenamento em nuvem.
A Ásia-Pacífico concentra 37,6% dos domínios únicos do conjunto, a maior fatia regional, e a América Latina também aparece com participação alta, sem percentual informado. O relatório pondera que a distribuição pode refletir onde há mais equipamento exposto, não escolha deliberada de região. Boa parte dos comprometimentos em FortiGate está datada entre fevereiro e junho de 2026.
Vítimas da campanha aparecem nos sites de vazamento do Qilin e do The Gentlemen, mas a Group-IB não confirma afiliação direta e avalia que os operadores atuam provavelmente como corretores de acesso inicial. A ligação com o conjunto FortiBleed é tratada como possível, com confiança moderada.
