No. 8 6 分钟阅读
k0t 威胁行动者针对企业防火墙与 VPN 的大规模攻击活动
网络安全研究人员披露了一项大规模活动的细节,该活动针对 Fortinet FortiGate 和 Palo Alto Networks GlobalProtect 防火墙等暴露的网络边缘设备。
1. 执行摘要
网络安全研究人员披露了一起针对互联网暴露的企业网络边缘设备（主要是 Fortinet FortiGate 防火墙和 Palo Alto Networks GlobalProtect VPN）的大规模攻击活动。威胁行动者 k0t（别名 CryptoFeel、Member19、QazWsxShop）通过公开扫描工具定位目标，利用已知漏洞或暴力破解获取初始访问权限，随后建立持久化远程访问并窃取凭证。
- 暴露凭证数量：超过 70,000 条（包括网络设备凭证与 LDAP 转储）
- 主要活跃期：2026 年 2 月至 6 月（与 FortiBleed 活动时间重叠）
- 受害者分布：全球范围，不针对特定行业，以设备暴露情况为优先
- 关联威胁：疑似作为初始访问代理（Initial Access Broker）或附属组织，与勒索软件团伙 Qilin 和 The Gentlemen 存在关联
- 核心风险：导致组织内部持久化访问、进一步横向移动及数据外泄
建议所有使用相关设备的组织立即核查并修复相关漏洞，同时加强边缘设备的暴露面管理与凭证监控。
2. 威胁行动者画像
| 项目 | 详情 |
|---|---|
| 主要代号 | k0t |
| 已知别名 | CryptoFeel、Member19、QazWsxShop |
| 首次观测时间 | 2025 年 10 月 22 日 |
| 角色定位 | 初始访问代理（IAB）或勒索软件附属组织 |
| 关联勒索软件 | Qilin、The Gentlemen（部分受害者后续出现在其数据泄露站点） |
| 暗网活动特征 | 购买漏洞利用代码、工具，以及 FOFA、ZoomEye 等元数据搜索引擎的高级账号 |
| 目标选择逻辑 | 优先扫描暴露的网络设备（产品与地理位置优先于组织行业），地理优先级：美国与加拿大 > 欧洲 > 特定亚太市场 |
行动者采用“广撒网”策略，通过规模化枚举暴露设备而非针对特定组织进行深度研究。
3. 活动概览与受害者画像
3.1 时间线
- 首次出现：2025 年 10 月 22 日
- 主要攻击窗口：2026 年 2 月 – 6 月
- 与 FortiBleed 的关系：时间重叠，但 Group-IB 与 NyxLab 发现两者在受损数据上的重叠可忽略不计，可能属于同一活动集群下的不同操作子集或独立访问行动。
3.2 地理分布
- 亚太地区：约 38%
- 拉丁美洲：约 31.9%
- 欧洲：约 15.8%
- 中东与北非：约 12.7%
3.3 行业特征
目标选择不依赖行业属性，主要取决于设备是否暴露于公网。受害者涵盖广泛组织类型。
3.4 影响规模
- 超过 70,000 条暴露凭证（网络设备凭证 + LDAP 转储）
- 已观察到部分受害者被进一步渗透，导致持久化远程访问与数据外泄
4. 攻击链详细分析
攻击流程高度标准化，具备较强的自动化特征：
- 侦察阶段
- 使用公开扫描引擎（FOFA、ZoomEye）枚举互联网面向的 VPN 与防火墙设备
- 按产品类型过滤，生成潜在易受攻击设备目标列表
- 初始访问
- 利用已知漏洞：
- CVE-2025-64446：FortiWeb 路径遍历漏洞
- CVE-2026-0257：Palo Alto Networks PAN-OS 与 Prisma Access 身份验证绕过漏洞
- 或使用常见用户名/密码组合进行暴力破解
- 使用定制 Python 脚本：
fortnew.py、exploit_2026_0257.py
- 利用已知漏洞：
- 建立立足点
- 通过 OpenConnect VPN 连接建立对目标的访问
- 后渗透与凭证窃取
- Active Directory 枚举
- SMB 服务探测
- 安装的防病毒解决方案枚举
- 使用工具集：NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatz
- 持久化
- 合法远程管理工具：MeshCentral Agent、Atera、Teramind、AnyDesk
- 开源对抗模拟框架：AdaptixC2
- 数据外泄
- 使用 Rclone 将数据上传至 Wasabi S3 存储桶与 MEGA 云盘
5. 关键工具与技术指标
5.1 利用与扫描工具
- FOFA、ZoomEye（侦察）
fortnew.py、exploit_2026_0257.py（漏洞利用）
5.2 后渗透与横向移动工具
- NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatz
5.3 持久化工具
- MeshCentral Agent、Atera、Teramind、AnyDesk、AdaptixC2
5.4 外泄工具
- Rclone（目标：Wasabi S3、MEGA）
5.5 关键技术
- 合法工具滥用（Living-off-the-Land）
- 开源 C2 框架武器化
- 凭证与 LDAP 数据批量收集
6. 与其他活动的关联
- 与 Qilin / The Gentlemen 的关系：多起受害者后续出现在这些勒索软件团伙的数据泄露站点上，但具体合作模式（直接销售访问权限、共同运营等）尚不明确。
- 与 FortiBleed 的关系：时间重叠，数据重叠可忽略，可能属于同一更大活动集群下的不同操作单元。
7. 防御建议
- 立即修复漏洞
- 优先修补 CVE-2025-64446（FortiWeb）与 CVE-2026-0257（PAN-OS / Prisma Access）及相关补丁。
- 减少攻击面
- 审查所有互联网暴露的防火墙、VPN 与管理接口，关闭不必要的公网访问或强制使用多因素认证与 IP 白名单。
- 凭证与账户监控
- 监控异常 LDAP / Active Directory 查询、大规模凭证使用与异常登录行为。
- 对网络设备管理账户实施强密码策略与定期轮换。
- 检测持久化工具
- 重点监控 MeshCentral、Atera、Teramind、AnyDesk 及未知 C2 通信（AdaptixC2）。
- 外泄检测
- 监控异常 Rclone 使用、向 Wasabi 或 MEGA 的大量数据上传行为。
- 威胁情报联动
- 将相关 IOC（如已知脚本哈希、C2 特征、外泄存储桶特征）纳入检测规则，并持续跟踪 k0t 及其关联勒索软件团伙的活动。
8. 参考来源
- Group-IB & NyxLab 联合调查报告：https://www.group-ib.com/blog/stray-cat-network-edge/
- 相关漏洞参考：
- CVE-2025-64446（FortiWeb 路径遍历）
- CVE-2026-0257（PAN-OS 身份验证绕过）
免责声明：本技术文档基于公开报道整理，仅供安全研究人员与防御人员参考。实际防御措施应根据组织自身环境与最新官方通告进行调整。
文档生成时间：2026-10-23