هکرها فایروال‌ها و VPNهای سازمانی را شکستند؛ بیش از ۷۰ هزار اعتبارنامه افشا شد
اخبار داغ فناوری اطلاعات و امنیت شبکهکمپین گسترده k0t با هدف قرار دادن FortiGate و GlobalProtect و پیوند احتمالی با باج‌افزارهای Qilin و The Gentlemen
پژوهشگران امنیت سایبری جزئیات یک کمپین در مقیاس بزرگ را منتشر کرده‌اند که دستگاه‌های لبه شبکه (Network Edge) در معرض اینترنت، از جمله فایروال‌های Fortinet FortiGate و Palo Alto Networks GlobalProtect را هدف گرفته است.
بر اساس یک بررسی مشترک از Group-IB و NyxLab، مهاجمان این کمپین به سازمان‌های متعددی در سراسر جهان دسترسی پیدا کرده و تلاش کرده‌اند برخی قربانیان را بیشتر در معرض نفوذ قرار دهند؛ نتیجه این تلاش‌ها، دسترسی از راه دور پایدار و استخراج داده بوده است.
مهاجم کیست؟ معرفی k0t
این فعالیت گسترده به یک عامل تهدید با نام k0t نسبت داده شده که با نام‌های مستعار CryptoFeel، Member19 و QazWsxShop نیز شناخته می‌شود. این مجرم سایبری نخستین‌بار در ۲۲ اکتبر ۲۰۲۵ در فضای واقعی مشاهده شده است.
ارزیابی می‌شود این عامل با گروه‌های باج‌افزاری مانند Qilin و The Gentlemen ارتباط دارد و احتمالاً به‌عنوان یک دلال دسترسی اولیه (Initial Access Broker) یا یک وابسته (Affiliate) فعالیت می‌کند. تحلیل فعالیت او در دارک‌وب نشان می‌دهد علاقه ویژه‌ای به خرید کد بهره‌برداری از آسیب‌پذیری‌ها و ابزارها، یا حساب‌های ویژه موتورهای جست‌وجوی متادیتا مانند FOFA و ZoomEye دارد.
قربانیان: جهانی و بی‌تفاوت به صنعت
به‌دلیل هدف‌گیری بی‌هدف و انبوه دستگاه‌های در معرض اینترنت، قربانیان این کمپین در سراسر جهان و در طیف گسترده‌ای از صنایع قرار دارند. بخش قابل‌توجهی از نفوذها بین فوریه تا ژوئن ۲۰۲۶ رخ داده که با کمپین دیگری برای برداشت اعتبارنامه با نام FortiBleed همپوشانی زمانی دارد.
توزیع جغرافیایی قربانیان به شرح زیر است:
| منطقه | سهم از قربانیان |
|---|---|
| آسیا و اقیانوسیه | حدود ۳۸٪ |
| آمریکای لاتین | ۳۱.۹٪ |
| اروپا | ۱۵.۸٪ |
| خاورمیانه و شمال آفریقا | ۱۲.۷٪ |
زنجیره حمله، گام‌به‌گام
زنجیره حمله k0t به این شکل پیش می‌رود:
۱. شناسایی: استفاده از ابزارهای اسکن عمومی مانند FOFA و ZoomEye برای فهرست‌کردن دستگاه‌های VPN و فایروال متصل به اینترنت، فیلتر کردن بر اساس محصول، و ساخت فهرست اهداف بالقوه آسیب‌پذیر.
۲. دسترسی اولیه: تلاش برای بهره‌برداری از آسیب‌پذیری‌های شناخته‌شده، از جمله CVE-2025-64446 (نقص پیمایش مسیر در FortiWeb) و CVE-2026-0257 (نقص دور زدن احراز هویت در PAN-OS و Prisma Access شرکت Palo Alto Networks)، با اسکریپت‌های پایتون اختصاصی به نام‌های fortnew.py و exploit_2026_0257.py؛ یا حمله فراگیر رمز عبور با ترکیب‌های رایج نام کاربری و رمز.
۳. استقرار جای‌پا: ایجاد یک اتصال OpenConnect VPN روی اهداف.
۴. پس از نفوذ: فهرست‌برداری از Active Directory، SMB و آنتی‌ویروس نصب‌شده، و سرقت اعتبارنامه‌های بیشتر.
۵. ماندگاری: استفاده از ابزارهای قانونی دسترسی از راه دور مانند MeshCentral Agent، Atera، Teramind و AnyDesk، و همچنین چارچوب متن‌باز شبیه‌سازی دشمن AdaptixC2.
۶. استخراج داده: انتقال داده‌های برداشت‌شده با ابزار Rclone به باکت‌های Wasabi S3 و درایوهای ابری MEGA.
ابزارهای قانونی که علیه قربانیان به کار می‌روند
این حملات با استفاده از ابزارهای قانونی مدیریتی و آزمون نفوذ مانند NetExec، SoftPerfect، Impacket، noPac، Kerbrute، PetitPotam و Mimikatz نیز مشخص می‌شوند؛ ابزارهایی که به مهاجم اجازه می‌دهند عمیق‌تر در محیط سازمانی قربانی نفوذ کند.
استراتژی هدف‌گیری: محصول و موقعیت مهم‌تر از صنعت
پژوهشگران Group-IB و NyxLab توضیح می‌دهند k0t اهداف بالقوه را با فهرست‌برداری انبوه از دستگاه‌های شبکه در معرض دید انتخاب می‌کند، نه با پژوهش درباره سازمان‌های جداگانه. اولویت‌های جغرافیایی اعلام‌شده او با ایالات متحده و کانادا آغاز می‌شود، سپس کشورهای اروپایی و برخی بازارهای آسیا و اقیانوسیه.
به عبارت دیگر، محصول و موقعیت یک دستگاه در معرض دید، از صنعتی که سازمان صاحب آن در آن فعالیت می‌کند، مهم‌تر به نظر می‌رسد؛ موضوعی که با طیف گسترده قربانیان مشاهده‌شده همخوان است.
پیوند با Qilin و The Gentlemen؛ شواهد غیرمستقیم
ارتباط k0t با Qilin و The Gentlemen از این واقعیت نشأت می‌گیرد که بسیاری از قربانیان این کمپین، بعدها در سایت‌های افشای داده این گروه‌های باج‌افزاری فهرست شده‌اند. با این حال، ماهیت دقیق این ارتباط نامشخص است.
۷۰ هزار اعتبارنامه و رابطه با FortiBleed
بیش از ۷۰ هزار اعتبارنامه افشاشده مرتبط با دستگاه‌های شبکه و دامپ‌های LDAP در ارتباط با این کمپین شناسایی شده است. پژوهشگران می‌گویند همپوشانی داده‌های به‌خطرافتاده میان این فعالیت و FortiBleed «ناچیز» است.
این یافته با گزارش‌هایی هم‌سو است که می‌گویند اپراتورهای متعددی احتمالاً در خوشه فعالیت FortiBleed دخیل‌اند؛ بنابراین ممکن است این یک مجموعه داده جداگانه، زیرمجموعه‌ای از اپراتورها، یا عملیات دسترسی مرتبط در دل فعالیت‌های گسترده‌تر FortiBleed باشد. پژوهشگران به سازمان‌ها توصیه کرده‌اند اطمینان حاصل کنند آسیب‌پذیری‌های ذکرشده در گزارش به‌درستی رفع شده‌اند.
چرا این کمپین اهمیت دارد؟
نخست، این کمپین نشان می‌دهد دستگاه‌های لبه شبکه — فایروال‌ها و VPNها — همچنان جذاب‌ترین نقطه ورود برای مهاجمان هستند؛ دستگاه‌هایی که ذاتاً به اینترنت متصل‌اند، اغلب با دسترسی گسترده به شبکه داخلی، و گاه دیرتر از سایر دارایی‌ها وصله می‌شوند.
دوم، مدل کسب‌وکار پشت این فعالیت قابل‌توجه است: یک عامل واحد که اهداف را به‌صورت انبوه و بی‌تمایز فهرست می‌کند، دسترسی می‌گیرد و احتمالاً آن را به گروه‌های باج‌افزاری می‌فروشد یا از طرف آن‌ها عمل می‌کند. این الگو، فاصله میان نفوذ اولیه و حمله باج‌افزاری را به‌طور خطرناکی کم می‌کند.
سوم، استفاده از ابزارهای قانونی برای ماندگاری و استخراج داده (از AnyDesk و Atera تا Rclone) باعث می‌شود شناسایی فعالیت مخرب برای ابزارهای امنیتی سنتی دشوارتر شود، چراکه این ابزارها در بسیاری از سازمان‌ها به‌صورت مشروع نیز استفاده می‌شوند.
توصیه‌های امنیتی
- تمام فایروال‌ها و VPNهای لبه شبکه، به‌ویژه Fortinet و Palo Alto Networks را فوراً وصله کنید؛ با تمرکز بر CVE-2025-64446 و CVE-2026-0257.
- دسترسی مدیریتی به این دستگاه‌ها را از اینترنت عمومی حذف یا محدود کنید.
- رمزهای عبور و اعتبارنامه‌های مرتبط با دستگاه‌های لبه و LDAP را در صورت هرگونه احتمال افشا، فوراً بچرخانید.
- احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ را برای تمام دسترسی‌های VPN فعال کنید و از رمزهای ضعیف یا پیش‌فرض پرهیز کنید.
- نرم‌افزارهای دسترسی از راه دور غیرمجاز (MeshCentral، Atera، Teramind، AnyDesk) و اتصال‌های OpenConnect ناشناس را در شبکه جست‌وجو کنید.
- ترافیک خروجی به Wasabi S3 و MEGA و اجرای Rclone را پایش کنید.
- ابزارهایی مانند NetExec، Impacket، Mimikatz، Kerbrute و PetitPotam را در لاگ‌ها و EDR رصد کنید.
- سطح حمله خارجی خود را با ابزارهایی مشابه FOFA و ZoomEye بررسی کنید تا ببینید چه دستگاه‌هایی از بیرون قابل‌مشاهده‌اند.
جمع‌بندی
کمپین k0t نمونه‌ای از یک عملیات انبوه و فرصت‌طلبانه است که با فهرست‌برداری از دستگاه‌های لبه شبکه آغاز می‌شود، با ابزارهای قانونی ادامه می‌یابد و با استخراج داده و احتمالاً تحویل دسترسی به گروه‌های باج‌افزاری پایان می‌پذیرد. بیش از ۷۰ هزار اعتبارنامه افشاشده، پیوند احتمالی با Qilin و The Gentlemen، و همپوشانی زمانی با FortiBleed، همگی بر اهمیت وصله سریع و حذف مدیریت دستگاه‌های لبه از اینترنت عمومی تأکید می‌کنند. برای سازمان‌ها، آنچه این کمپین نشان می‌دهد این است که اینکه «چه دستگاهی در معرض اینترنت است» گاهی از «چه کسی هستید» مهم‌تر است.
برچسب ها: FortiGate, امنیت_اطلاعات, امنیت_سایبری, Cyberattack, cybersecurity, fortigate فایروال, حمله سایبری, news