Злоумышленник k0t массово атаковал периметровые устройства
Злоумышленник k0t провёл крупномасштабную кампанию против доступных из интернета устройств Fortinet FortiGate и FortiWeb, а также порталов и шлюзов Palo Alto GlobalProtect. Возможно, целью стали и другие периметровые устройства. Для поиска уязвимых систем оператор использовал FOFA, ZoomEye, Censys, AccessTracker и FortiSSL, а также собственные сканеры для проверки целей, их сортировки по географическому расположению и автоматизации эксплуатации уязвимостей или атак на учётные данные.
Атаки на устройства Fortinet и Palo Alto
Доступ к FortiWeb преимущественно получали, эксплуатируя CVE-2025-64446, уязвимость обхода относительных путей. Специально сформированные запросы позволяли выполнять административные команды без аутентификации. В ходе атаки создавался случайный локальный администратор с неограниченным доступом для доверенных хостов.
Для атак на FortiGate применялись инструменты подбора паролей через API, в том числе с логикой повторных попыток с учётом блокировок. После успешной аутентификации злоумышленники могли скачивать конфигурации и расшифровывать сохранённые секреты ключом AES по умолчанию в FortiOS, связанным с CVE-2019-6693. Это потенциально приводило к раскрытию учётных данных LDAP, Active Directory, администраторов и локальных пользователей.
Операторы также эксплуатировали CVE-2026-0257 в уязвимых конфигурациях PAN-OS GlobalProtect. Для обхода аутентификации они формировали поддельный cookie с использованием открытого ключа TLS целевой системы и отправляли его на конечную точку входа в GlobalProtect. Для установления доступа через VPN использовался OpenConnect.
Разведка и закрепление в сетях
После получения доступа операторы вручную проводили разведку и похищали учётные данные с помощью NetExec, Impacket, Mimikatz, SoftPerfect, Kerbrute и связанных с ними инструментов. Среди действий были перечисление SMB и LDAP, извлечение SAM, LSA, LSASS и DPAPI, кража хэшей учётных записей служб Kerberos, распыление паролей и удалённое выполнение кода. Для повышения привилегий в домене эксплуатировались CVE-2021-42278 и CVE-2021-42287. PetitPotam применялся в атаках с ретрансляцией NTLM и кражей сертификатов AD CS.
Для закрепления и удалённого доступа использовались OpenConnect, агенты MeshCentral, AdaptixC2, Atera, Teramind, AnyDesk и ngrok. MeshCentral предоставлял интерактивную командную строку, удалённый рабочий стол и передачу файлов. AdaptixC2 обеспечивал канал управления по HTTPS и выполнение полезной нагрузки.
Для эксфильтрации данных применялся Rclone, а данные отправлялись в хранилища Wasabi S3 и MEGA. Пересечение жертв с операциями программ-вымогателей Qilin и The Gentlemen указывает на возможную деятельность брокеров первоначального доступа. Прямые связи остаются неподтверждёнными.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
