攻擊者入侵企業防火牆與 VPN，暴露超過 70,000 筆憑證

Ravie LakshmananOct 23, 2026漏洞 / 網路攻擊

網路安全研究人員已披露一項大規模攻擊活動的細節，該活動針對暴露的網路邊緣裝置，如 Fortinet FortiGate 與 Palo Alto Networks GlobalProtect 防火牆。

此調查的證據亦顯示，該攻勢中的操作者已取得全球多家組織的存取權，並試圖進一步入侵部分受害者，導致持續的遠端存取與資料外流，這句引自 Group-IB 與 NyxLab 發布的 聯合調查。

此廣泛利用活動被歸因於名為 k0t 的威脅行為者，該行為者亦以 CryptoFeel、Member19 與 QazWsxShop 為別名。此網路犯罪行為者首次於 2025 年 10 月 22 日出現在實際環境中。

該威脅行為者被評估與 Qilin、The Gentlemen 等勒索軟體組織有聯絡，可能以初始存取經紀人或附屬者身份運作。對其暗網活動的分析顯示，對購買漏洞利用程式碼與工具或 FOFA and ZoomEye 等元資料搜尋引擎的高階帳號抱有濃厚興趣。

此攻勢的受害者遍佈全球，涵蓋多個產業，因為對外露網路裝置的無差別攻擊。據說大部分入侵事件發生於 2026 年 2 月至 6 月，這段時間亦與另一個代號為 FortiBleed 的憑證竊取攻勢重疊。

近 38% 的受害者集中於亞太地區，其次為 31.9% 的拉丁美洲、15.8% 的歐洲，以及 12.7% 的中東與北非。

攻擊流程如下 -

• 透過 FOFA 與 ZoomEye 等公開掃描工具進行偵測，列舉網際網路公開的 VPN 與防火牆裝置，依產品篩選候選，並彙整潛在易受攻擊的邊緣裝置目標清單。
• 試圖利用已知漏洞（如 CVE-2025-64446（FortiWeb 的路徑遍歷缺陷）和 CVE-2026-0257（Palo Alto Networks PAN-OS 與 Prisma Access 的身份驗證繞過缺陷））透過自訂 Python 指令碼「fortnew.py」與「exploit_2026_0257.py」或使用常見使用者名稱與密碼組合進行暴力破解，以取得初始存取。
• 透過 OpenConnect VPN 連線在目標上建立根據。
• 進行後滲透操作與額外的憑證盜取，例如列舉 Active Directory、SMB 與已安裝的防毒解決方案。
• 透過合法遠端存取工具（如 MeshCentral Agent、Atera、Teramind、AnyDes）以及名為 AdaptixC2 的開源對手模擬框架，在主機上建立永續性。
• 使用 Rclone 將竊取的資料外流至 Wasabi S3 儲存桶與 MEGA 雲端驅動器。

攻擊亦以合法的管理員與滲透測試工具（如 NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam 與 Mimikatz）為特徵，深入侵入受害者的企業環境。

"k0t 似乎是透過大規模列舉暴露的網路裝置來挑選潛在目標，而非針對單一組織進行調查，" Group-IB 與 NyxLab 研究人員說。 "他的地理優先順序以美國和加拿大為首，接著是歐洲國家及部分亞太市場。"

"因此，暴露裝置的產品與位置似乎比其營運組織的產業更重要，這與本次攻勢中觀察到的廣泛受害者相符。"

k0t 與 Qilin 及 The Gentlemen 的聯絡源於許多受害者在此攻勢後也被勒索軟體團體列入其資料外洩網站。然而，該威脅與這些團夥之間的具體關聯尚不清楚。

更重要的是，Group-IB 與 NyxLab 表示他們發現此活動與 FortBleed 之間的受損資料存在「可忽略不計的重疊」。已經識別出超過 70,000 個與網路裝置及 LDAP 匯出相關的暴露憑證與本次攻勢相關。

"這與報告相符，許多運營商可能參與 FortiBleed 活動叢集，暗示這可能是單獨的資料集、運營商子集，或在更廣泛的 FortiBleed 相關活動中的相關存取操作，" 研究人員說。 "建議組織採取行動，確保本報告提及的任何漏洞得到適當修補。"

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，以閱讀更多我們發布的獨家內容。