> ## Content Index
> Fetch the complete content index at: https://www.yooku.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# k0t 威胁行动者针对企业防火墙与 VPN 的大规模攻击活动
- URL: https://www.yooku.com/k0t-wei-xie-xing-dong-zhe-zhen-dui-qi-ye-fang-huo-qiang-yu-vpn-de-da-gui-mo-gong-ji-huo-dong/
- Published: 2026-10-25T01:39:00.000Z
- Updated: 2026-10-25T01:39:00.000Z
- Author: Master

网络安全研究人员披露了一项大规模活动的细节,该活动针对 Fortinet FortiGate 和 Palo Alto Networks GlobalProtect 防火墙等暴露的网络边缘设备。

## 1\. 执行摘要

网络安全研究人员披露了一起针对互联网暴露的企业网络边缘设备（主要是 Fortinet FortiGate 防火墙和 Palo Alto Networks GlobalProtect VPN）的大规模攻击活动。威胁行动者 **k0t**（别名 CryptoFeel、Member19、QazWsxShop）通过公开扫描工具定位目标，利用已知漏洞或暴力破解获取初始访问权限，随后建立持久化远程访问并窃取凭证。

- **暴露凭证数量**：超过 70,000 条（包括网络设备凭证与 LDAP 转储）
- **主要活跃期**：2026 年 2 月至 6 月（与 FortiBleed 活动时间重叠）
- **受害者分布**：全球范围，不针对特定行业，以设备暴露情况为优先
- **关联威胁**：疑似作为初始访问代理（Initial Access Broker）或附属组织，与勒索软件团伙 Qilin 和 The Gentlemen 存在关联
- **核心风险**：导致组织内部持久化访问、进一步横向移动及数据外泄

建议所有使用相关设备的组织立即核查并修复相关漏洞，同时加强边缘设备的暴露面管理与凭证监控。

## 2\. 威胁行动者画像

| 项目         | 详情                                                     |
| ---------- | ------------------------------------------------------ |
| **主要代号**   | k0t                                                    |
| **已知别名**   | CryptoFeel、Member19、QazWsxShop                         |
| **首次观测时间** | 2025 年 10 月 22 日                                       |
| **角色定位**   | 初始访问代理（IAB）或勒索软件附属组织                                   |
| **关联勒索软件** | Qilin、The Gentlemen（部分受害者后续出现在其数据泄露站点）                 |
| **暗网活动特征** | 购买漏洞利用代码、工具，以及 FOFA、ZoomEye 等元数据搜索引擎的高级账号              |
| **目标选择逻辑** | 优先扫描暴露的网络设备（产品与地理位置优先于组织行业），地理优先级：美国与加拿大 > 欧洲 > 特定亚太市场 |

行动者采用“广撒网”策略，通过规模化枚举暴露设备而非针对特定组织进行深度研究。

## 3\. 活动概览与受害者画像

### 3.1 时间线

- **首次出现**：2025 年 10 月 22 日
- **主要攻击窗口**：2026 年 2 月 – 6 月
- **与 FortiBleed 的关系**：时间重叠，但 Group-IB 与 NyxLab 发现两者在受损数据上的重叠可忽略不计，可能属于同一活动集群下的不同操作子集或独立访问行动。

### 3.2 地理分布

- 亚太地区：约 38%
- 拉丁美洲：约 31.9%
- 欧洲：约 15.8%
- 中东与北非：约 12.7%

### 3.3 行业特征

目标选择不依赖行业属性，主要取决于设备是否暴露于公网。受害者涵盖广泛组织类型。

### 3.4 影响规模

- 超过 70,000 条暴露凭证（网络设备凭证 + LDAP 转储）
- 已观察到部分受害者被进一步渗透，导致持久化远程访问与数据外泄

## 4\. 攻击链详细分析

攻击流程高度标准化，具备较强的自动化特征：

1. **侦察阶段**
  - 使用公开扫描引擎（FOFA、ZoomEye）枚举互联网面向的 VPN 与防火墙设备
  - 按产品类型过滤，生成潜在易受攻击设备目标列表
2. **初始访问**
  - 利用已知漏洞：
    - **CVE-2025-64446**：FortiWeb 路径遍历漏洞
    - **CVE-2026-0257**：Palo Alto Networks PAN-OS 与 Prisma Access 身份验证绕过漏洞
  - 或使用常见用户名/密码组合进行暴力破解
  - 使用定制 Python 脚本：`fortnew.py`、`exploit_2026_0257.py`
3. **建立立足点**
  - 通过 OpenConnect VPN 连接建立对目标的访问
4. **后渗透与凭证窃取**
  - Active Directory 枚举
  - SMB 服务探测
  - 安装的防病毒解决方案枚举
  - 使用工具集：NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatz
5. **持久化**
  - 合法远程管理工具：MeshCentral Agent、Atera、Teramind、AnyDesk
  - 开源对抗模拟框架：AdaptixC2
6. **数据外泄**
  - 使用 Rclone 将数据上传至 Wasabi S3 存储桶与 MEGA 云盘

## 5\. 关键工具与技术指标

### 5.1 利用与扫描工具

- FOFA、ZoomEye（侦察）
- `fortnew.py`、`exploit_2026_0257.py`（漏洞利用）

### 5.2 后渗透与横向移动工具

- NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatz

### 5.3 持久化工具

- MeshCentral Agent、Atera、Teramind、AnyDesk、AdaptixC2

### 5.4 外泄工具

- Rclone（目标：Wasabi S3、MEGA）

### 5.5 关键技术

- 合法工具滥用（Living-off-the-Land）
- 开源 C2 框架武器化
- 凭证与 LDAP 数据批量收集

## 6\. 与其他活动的关联

- **与 Qilin / The Gentlemen 的关系**：多起受害者后续出现在这些勒索软件团伙的数据泄露站点上，但具体合作模式（直接销售访问权限、共同运营等）尚不明确。
- **与 FortiBleed 的关系**：时间重叠，数据重叠可忽略，可能属于同一更大活动集群下的不同操作单元。

## 7\. 防御建议

1. **立即修复漏洞**
  - 优先修补 CVE-2025-64446（FortiWeb）与 CVE-2026-0257（PAN-OS / Prisma Access）及相关补丁。
2. **减少攻击面**
  - 审查所有互联网暴露的防火墙、VPN 与管理接口，关闭不必要的公网访问或强制使用多因素认证与 IP 白名单。
3. **凭证与账户监控**
  - 监控异常 LDAP / Active Directory 查询、大规模凭证使用与异常登录行为。
  - 对网络设备管理账户实施强密码策略与定期轮换。
4. **检测持久化工具**
  - 重点监控 MeshCentral、Atera、Teramind、AnyDesk 及未知 C2 通信（AdaptixC2）。
5. **外泄检测**
  - 监控异常 Rclone 使用、向 Wasabi 或 MEGA 的大量数据上传行为。
6. **威胁情报联动**
  - 将相关 IOC（如已知脚本哈希、C2 特征、外泄存储桶特征）纳入检测规则，并持续跟踪 k0t 及其关联勒索软件团伙的活动。

## 8\. 参考来源

- Group-IB & NyxLab 联合调查报告：https://www.group-ib.com/blog/stray-cat-network-edge/
- 相关漏洞参考：
  - CVE-2025-64446（FortiWeb 路径遍历）
  - CVE-2026-0257（PAN-OS 身份验证绕过）

**免责声明**：本技术文档基于公开报道整理，仅供安全研究人员与防御人员参考。实际防御措施应根据组织自身环境与最新官方通告进行调整。

**文档生成时间**：2026-10-23