İnternete açık güvenlik duvarlarını ve VPN cihazlarını hedef alan kampanyada 70 binden fazla kimlik bilgisi ortaya çıktı

Güvenlik şirketleri Group-IB ve NyxLab, 21 Ekim’de yayımladıkları ve The Hacker News’in 23 Ekim’de aktardığı ortak araştırmada, internete açık güvenlik duvarlarını ve VPN cihazlarını hedef alan geniş çaplı bir kampanyayı anlattı. Hedefler arasında Fortinet FortiGate ve Palo Alto Networks GlobalProtect cihazları var. Araştırmacılara göre kampanyayla bağlantılı olarak ağ cihazlarına ve LDAP dökümlerine ait 70 binden fazla kimlik bilgisi tespit edildi.

Araştırmacılar faaliyeti k0t takma adını kullanan, CryptoFeel, Member19 ve QazWsxShop adlarıyla da bilinen ve kampanyanın başlıca operatörlerinden biri olarak görülen bir siber suçluya bağlıyor. Bu kişi ilk kez 22 Ekim 2025’te görüldü. The Hacker News’in aktardığına göre k0t’un karanlık ağdaki paylaşımları, saldırı kodu ve araçları ile FOFA, ZoomEye gibi tarama motorlarının ücretli hesaplarını satın almaya ilgi duyduğunu gösteriyor.

Saldırıların işleyişi

The Hacker News’in aktardığı rapora göre saldırı zinciri şöyle ilerliyor:

• FOFA ve ZoomEye gibi açık tarama araçlarıyla internete açık VPN ve güvenlik duvarı cihazları listeleniyor, ürüne göre filtrelenip hedef listeleri hazırlanıyor.
• Cihazlar, FortiWeb’deki CVE-2025-64446 ve Palo Alto Networks PAN-OS ile Prisma Access’teki CVE-2026-0257 gibi bilinen açıklarla, özel yazılmış Python betikleriyle ya da yaygın kullanıcı adı ve şifre kombinasyonlarını deneyen kaba kuvvet saldırılarıyla ele geçirilmeye çalışılıyor.
• İçeri giren saldırgan OpenConnect VPN bağlantısıyla tutunuyor, Active Directory’yi, SMB paylaşımlarını ve kurulu antivirüs yazılımını keşfediyor, ek kimlik bilgileri topluyor.
• Kalıcılık için MeshCentral Agent, Atera, Teramind ve AnyDesk gibi meşru uzaktan erişim araçları ile açık kaynaklı AdaptixC2 çerçevesi kullanılıyor.
• Toplanan veriler Rclone ile Wasabi S3 depolarına ve MEGA bulut sürücülerine çıkarılıyor.

Saldırgan ağda ilerlemek için NetExec, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz gibi yönetici ve sızma testi araçlarını da kullanıyor.

Hedef seçimi ve fidye yazılımı bağlantısı

Araştırmacılara göre k0t, tek tek kurumları araştırmak yerine internete açık ağ cihazlarını geniş ölçekte listeleyerek hedef seçiyor. Saldırganın kendi belirttiği coğrafi öncelikler ABD ve Kanada ile başlıyor, ardından Avrupa ülkeleri ve bazı Asya-Pasifik pazarları geliyor. Yine de tespit edilen benzersiz alan adlarının yaklaşık yüzde 38’i Asya-Pasifik’te, yüzde 31,9’u Latin Amerika’da, yüzde 15,8’i Avrupa’da ve yüzde 12,7’si Orta Doğu ve Kuzey Afrika’da bulunuyor. Araştırmacılar, cihazın ürününün ve konumunun, onu işleten kurumun sektöründen daha belirleyici olduğunu söylüyor.

k0t’un Qilin ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı olduğu, büyük olasılıkla ilk erişim satıcısı ya da iş ortağı olarak çalıştığı değerlendiriliyor. Bu değerlendirme, kampanyanın kurbanlarının birçoğunun daha sonra bu grupların sızıntı sitelerinde listelenmesine dayanıyor. Bağlantının tam niteliği ise belirsiz.

Ele geçirmelerin önemli bölümü Şubat ile Haziran 2026 arasında gerçekleşti. Bu dönem, FortiBleed adı verilen başka bir kimlik bilgisi toplama kampanyasıyla örtüşüyor. Ancak araştırmacılar iki faaliyetteki çalınan veriler arasında “ihmal edilebilir” bir örtüşme buldu. Araştırmacılar bunu FortiBleed kümesinde birçok operatörün yer aldığı yönündeki haberlerle uyumlu buluyor ve bu kampanyanın ayrı bir veri seti, bir operatör alt grubu ya da FortiBleed’le ilişkili başka bir erişim operasyonu olabileceğini söylüyor.

Önerilen önlemler

Group-IB ve NyxLab’ın raporundaki öneriler şöyle:

• Yönetim arayüzlerini internetten çekin. Ağ cihazlarının yönetim konsolları iç ağda tutulmalı ve yalnızca güvenilir yönetim ağlarından ya da VPN üzerinden erişilebilmeli.
• Kaba kuvvet saldırılarını zorlaştırın. Varsayılan ve yaygın şifreler hemen değiştirilmeli, hatalı girişlerden sonraki kilitlenme süresi uzatılmalı ve art arda başarısız girişlerle kilitlenen hesaplar incelenmeli.
• Güncellemeleri geciktirmeyin. Özellikle internete açık ağ cihazlarının güncellemeleri öncelikli yapılmalı, düzenli zafiyet taraması ve varlık keşfi yapılmalı.
• FortiGate yapılandırmalarındaki gizli bilgileri koruyun. Araştırmacılara göre saldırganlar ele geçirdikleri FortiGate cihazlarından yapılandırma dosyalarını indirip kendi ortamlarında çözdü ve içindeki LDAP ve Active Directory bağlantı hesaplarını, yönetici ve yerel kullanıcı bilgilerini ele geçirdi. FortiGate yapılandırma dosyaları, “private-data-encryption” ayarı açılıp kurumun kendi anahtarı verilmedikçe herkesçe bilinen bir anahtarla şifreleniyor (CVE-2019-6693). Bu ayar açılmalı. Yapılandırması açığa çıkmış her FortiGate’te, yapılandırmada geçen bütün şifreler, servis ve LDAP bağlantı hesapları dahil, değiştirilmeli.
• Ağ cihazlarının kullandığı dizin hesaplarını gözden geçirin. Bu hesaplar genellikle dizinde geniş okuma yetkisine sahip, çok faktörlü doğrulama kapsamı dışında ve düzenli şifre değişikliğine dahil edilmeyen hesaplar. Mümkünse alan yöneticisi yerine bu iş için ayrılmış düşük yetkili bir hesap kullanılmalı.
• Çok faktörlü doğrulamayı yaygınlaştırın. Çalınan açık metin şifrelerin etkisini azaltmak için uygulanabilen her hesapta çok faktörlü doğrulama kullanılmalı.
• Ele geçirme sonrası izleri arayın. VPN ya da ağ cihazları üzerinden girişlerden sonra olağandışı kimlik doğrulama, kimlik bilgisi erişimi, yetki yükseltme ve ağ içinde yayılma hareketleri izlenmeli. Uzaktan yönetim yazılımlarının ve komuta kontrol araçlarının yetkisiz ya da olağandışı kullanımı aranmalı.
• Şüpheli hesapların şifrelerini değiştirin. Bir hesabın ele geçirildiğinden makul şüphe varsa şifresi değiştirilmeli, kullanılmayan hesaplar silinmeli.

FortiBleed kampanyasıyla ilgili haberimiz: FBI uyardı, FortiBleed adlı kampanya 86 binden fazla Fortinet cihazına girdi