Ataques a firewalls e VPN expõem mais de 70 mil credenciais

Uma campanha de ciberataques dirigida a firewalls e equipamentos VPN expostos à Internet está associada à exposição de mais de 70 mil credenciais, incluindo dados de autenticação de dispositivos de rede e informação extraída de serviços LDAP. A atividade, atribuída ao agente malicioso conhecido como k0t, terá permitido o acesso a numerosas organizações em diferentes regiões do mundo, com alguns ataques a evoluírem para a instalação de mecanismos de acesso remoto persistente e exfiltração de dados.

A investigação conjunta da Group-IB e da NyxLab identifica como principais alvos dispositivos de perímetro de rede, incluindo soluções Fortinet FortiGate e Palo Alto Networks GlobalProtect. A campanha caracteriza-se pela identificação em larga escala de equipamentos acessíveis através da Internet, sem uma seleção inicial centrada em setores de atividade específicos.

O agente malicioso, também conhecido pelos pseudónimos CryptoFeel, Member19 e QazWsxShop, foi identificado pela primeira vez em outubro de 2025. Uma parte significativa dos comprometimentos analisados ocorreu entre fevereiro e junho de 2026.

Exploração de vulnerabilidades e roubo de credenciais

Os atacantes recorrem a ferramentas públicas de pesquisa, como FOFA e ZoomEye, para localizar firewalls e serviços VPN expostos à Internet. Depois de identificarem potenciais alvos, procuram explorar vulnerabilidades conhecidas ou realizar ataques de força bruta com combinações comuns de nomes de utilizador e palavras-passe.

Entre as falhas utilizadas na campanha estão a CVE-2025-64446, uma vulnerabilidade de path traversal no Fortinet FortiWeb, e a CVE-2026-0257, que permite contornar mecanismos de autenticação em produtos Palo Alto Networks PAN-OS e Prisma Access. De acordo com a The Hacker News, os investigadores identificaram scripts Python desenvolvidos para explorar estas vulnerabilidades.

Após obterem acesso inicial, os atacantes utilizam o OpenConnect para estabelecer ligações VPN e avançam para o reconhecimento das redes internas. Esta fase inclui a identificação de recursos Active Directory, partilhas SMB e soluções antivírus instaladas, bem como a tentativa de obter credenciais adicionais.

Para manter o acesso aos sistemas comprometidos, a campanha recorre a ferramentas legítimas de administração remota, como MeshCentral Agent, Atera e Teramind, além da framework AdaptixC2. Foram igualmente identificadas ferramentas habitualmente utilizadas em testes de intrusão, incluindo Impacket, NetExec e Mimikatz.

A informação recolhida é posteriormente transferida através do Rclone para serviços de armazenamento como Wasabi S3 e MEGA.

Ásia-Pacífico e América Latina concentram mais vítimas

Segundo os dados divulgados pela Group-IB e pela NyxLab, cerca de 38% das vítimas identificadas encontram-se na região Ásia-Pacífico, seguindo-se a América Latina, com 31,9%, a Europa, com 15,8%, e o Médio Oriente e Norte de África, com 12,7%.

Apesar desta distribuição, os investigadores consideram que a seleção dos alvos depende sobretudo da exposição e das características dos equipamentos de rede, e não da atividade das organizações.

O cibergrupo “parece selecionar potenciais alvos através da identificação em larga escala de equipamentos de rede expostos, em vez de investigar organizações individualmente”, explicam os investigadores, citados pelo The Hacker News.

A análise aponta ainda para possíveis ligações do agente malicioso aos grupos de ransomware Qilin e The Gentlemen. Várias organizações afetadas pela campanha foram posteriormente identificadas nos sites de divulgação de dados destes grupos, o que poderá indicar a atuação de k0t como intermediário de acesso inicial ou afiliado. No entanto, os investigadores sublinham que a natureza exata desta relação ainda não foi estabelecida.

Campanha poderá estar relacionada com FortiBleed

A atividade apresenta semelhanças com a campanha de recolha de credenciais conhecida como FortiBleed, que decorreu parcialmente no mesmo período. Contudo, a análise dos dados comprometidos revelou uma sobreposição considerada negligenciável entre as duas operações.

Os investigadores admitem que os conjuntos de dados possam ter origem em operadores diferentes ou em atividades relacionadas dentro de um ecossistema mais alargado de ataques a dispositivos de perímetro.

No total, foram identificadas mais de 70 mil credenciais expostas associadas à campanha, incluindo informação proveniente de equipamentos de rede e extrações de diretórios LDAP. Este número não corresponde necessariamente a 70 mil organizações comprometidas.

Perante os resultados, a Group-IB e a NyxLab recomendam às organizações que verifiquem a exposição dos seus equipamentos de rede, corrijam as vulnerabilidades identificadas e investiguem eventuais sinais de acesso não autorizado.

A utilização de ferramentas legítimas de administração remota e de serviços comerciais de armazenamento para exfiltração reforça também a importância de monitorizar alterações inesperadas nos sistemas e ligações suspeitas a partir da infraestrutura interna.