Хакери проникват в системи FortiGate, FortiWeb и Palo Alto GlobalProtect с цел кражба на пароли

Свързани с интернет защитни стени и VPN системи са подложени на атака в рамките на кампания, целяща кражба на идентификационни данни и осигуряване на траен достъп до корпоративни мрежи.

Дейността е насочена към устройствата FortiGate и FortiWeb на Fortinet, както и към порталите Palo Alto Networks GlobalProtect. След като проникнат вътре, атакуващите могат да събират пароли, съхранявани в конфигурациите на устройствата, и да ги използват, за да се придвижат по-дълбоко в мрежата на жертвата.

Кампанията е свързана със злонамерен субект, известен като k0t. От Group-IB и NyxLab съобщават, че активността е засегнала организации в различни индустрии и региони.

Тяхното разследване идентифицира над 70 000 компрометирани идентификационни данни и свързани с тях данни, включително идентификационни данни за мрежови устройства и LDAP записи. Изследователите предупреждават, че това общо число не потвърждава, че всяка включена в списъка парола е довела до успешно проникване.

Анализатори от Group-IB, съвместно с NyxLab, идентифицираха кампанията и описаха методите ѝ в доклад, публикуван на 21 октомври 2026 г.

Те заявиха, че авторите на заплахата масово търсят достъпно в интернет мрежово оборудване, след което се опитват да проникнат чрез експлоатиране на софтуерни уязвимости или отгатване на слаби пароли. Техните констатации включват откраднати идентификационни данни, признаци на постоянен отдалечен достъп и случаи на кражба на данни.

Хакери проникват в системите FortiGate, FortiWeb и Palo Alto GlobalProtect

Атакуващите използват публични услуги за търсене, за да откриват достъпни от интернет VPN портали и защитни стени. След това те проверяват откритите системи за слабости и се опитват да получат достъп.

От Group-IB посочват, че активността е широкообхватна, а не фокусирана върху конкретен отрасъл. Броят на изложените онлайн устройства и техните настройки могат да обяснят защо определени организации се появяват в събраните данни.

Устройствата FortiWeb са били атакувани чрез CVE-2025-64446 – уязвимост от тип обхождане на директории (path traversal), която може да позволи на неудостоверен атакуващ да изпълнява административни команди чрез специално модифицирани уеб заявки.

От Group-IB са наблюдавали персонализиран инструмент, опитващ се да използва уязвимостта за създаване на нов администраторски акаунт. Устройствата FortiGate не са уязвими към тази уязвимост във FortiWeb; вместо това авторите на заплахата са изпробвали често срещани комбинации от потребителски имена и пароли срещу изложени системи FortiGate.

Fortinet описва CVE-2025-64446 като проблем с неправилен контрол на достъпа, засягащ FortiWeb. Дейността, насочена срещу FortiGate, може да има последици отвъд самата защитна стена. След получаване на достъп атакуващите могат да изтеглят конфигурационния файл на устройството и да извлекат съхранените в него идентификационни данни, включително детайли за администраторски акаунти и профили в LDAP или Active Directory.

От Group-IB съобщават, че атакуващите са използвали известен ключ за шифроване по подразбиране, за да дешифрират част от съхранените секрети. Поради това организациите трябва да третират потенциално изложената конфигурация като възможно разкриване на пароли, а не просто като проблем с управлението на устройството.

Кампанията е насочена и към системи Palo Alto Networks GlobalProtect. От Group-IB са наблюдавали опити за експлоатиране на CVE-2026-0257 – уязвимост за заобикаляне на удостоверяването в портали и шлюзове на GlobalProtect при специфични настройки на PAN-OS.

Недостатъкът може да позволи неоторизирана VPN връзка. Препоръката за сигурност на Palo Alto Networks описва същия риск и съветва администраторите да следват указанията за отстраняване на проблема.

Cybersecurity News вече е отразявал експлоатирането на слабости във FortiWeb и пускането на експлойт инструмент за FortiWeb. Тези доклади предоставят контекст за уязвимостта във FortiWeb; настоящото разследване добавя доказателства, че атакуващите я използват като част от по-широка кампания срещу периферни мрежови устройства.

Какво се случва след получаването на достъп

След проникване в мрежата атакуващите могат да използват легитимни инструменти за администриране и сигурност, за да откриват системи, да търсят допълнителни идентификационни данни и да разширяват достъпа си.

От Group-IB са наблюдавали инструменти като NetExec, Impacket и Mimikatz, редом със софтуер за отдалечено управление като MeshCentral и Atera. Тяхната употреба може да бъде трудна за откриване, когато защитниците разглеждат само по едно събитие в даден момент, тъй като легитимните инструменти могат да се появяват и при нормалната работа на ИТ отдела.

По време на своя анализ изследователите откриха 28 активни групи устройства с 84 компрометирани устройства, свързани със сървър на MeshCentral. Те забелязаха също признаци за други инструменти за отдалечен достъп и рамка за командване и контрол (C2).

В някои случаи данните са били копирани в облачно хранилище с помощта на Rclone. От Group-IB заявиха, че някои от жертвите по-късно са се появили в сайтове за изтичане на данни от рансъмуер, но все още не е потвърдено дали k0t е пряко свързан със засегнатите рансъмуер групи.

Организациите могат да прочетат повече за кражбата на конфигурации на FortiGate и за действията по заобикаляне на удостоверяването в GlobalProtect в по-ранни материали на Cybersecurity News.

Тези свързани доклади описват рисковете, които имат значение след компрометиране на периферно устройство: откраднатите идентификационни данни могат да позволят по-нататъшен достъп, дори ако за първоначалната входна точка по-късно бъде инсталирана корекция за сигурност.

Екипите по сигурност трябва да проверят дали системите FortiGate, FortiWeb и GlobalProtect са достъпни от интернет, да потвърдят, че използват софтуер с отстранени уязвимости, и по възможност да ограничат административния достъп само до доверени мрежи.

Те трябва да преглеждат системните дневници за неочаквани администраторски акаунти, експортиране на конфигурации, необичайни VPN сесии, повтарящи се неуспешни опити за вход и достъп за управление от непознати локации.

Препоръката за сигурност на Palo Alto Networks предоставя инструкции за отстраняване на проблема за CVE-2026-0257; препоръката на Fortinet обхваща CVE-2025-64446.

Ако има вероятност да е осъществен достъп до дадено устройство, екипите трябва да разследват свързаните акаунти и системи, да подменят идентификационните данни, съхранявани в устройството или свързани с него, и да прегледат дневниците за VPN и идентичност за подозрителна последваща активност.

Администраторите на FortiGate трябва също да проверят дали е активирано шифроване на поверителните данни с ключ, контролиран от организацията. Липсата на съвпадащи индикатори не доказва, че устройството или мрежата са в безопасност; защитниците трябва да съпоставят записите от оборудването, VPN, управлението на идентичността и крайните точки.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановявайте оригиналния им вид само в рамките на контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.