Onderzoekers van Group-IB en NyxLab melden een grootschalige campagne waarbij aanvallers via internet bereikbare edge-apparatuur zijn binnengedrongen. Het gaat om enterprise firewalls en VPN-oplossingen, met als gevolg dat er 70.000+ credentials zijn blootgelegd. Voor veel organisaties betekent dit: direct controleren, patchen en toegangsgegevens ongeldig maken.
De aanvallen zijn gekoppeld aan een dreigingsacteur die bekendstaat als k0t (ook met aliassen als CryptoFeel, Member19 en QazWsxShop). De campagne werd voor het eerst gezien op 22 oktober 2025 en kent een duidelijke piek in de periode februari tot en met juni 2026.
Waartegen de campagne zich richt: firewalls en VPN’s
De focus ligt op netwerkapparaten aan de rand van het bedrijfsnetwerk (de “network edge”). In de rapportage worden onder meer Fortinet FortiGate en Palo Alto Networks GlobalProtect genoemd. Dit type doelwit is aantrekkelijk omdat het verkeer van buitenaf verwerkt: wie daar binnenkomt, kan later vaak verder richting interne systemen.
Volgens de onderzoekers is het geen aanval die alleen op specifieke organisaties lijkt gericht. In plaats daarvan selecteert de actor kandidaten op basis van massascans van internet-facing apparaten, en kijkt daarna vooral naar producttype en locatie.
Hoe de aanvallers binnenkomen
De aanval volgt een herkenbare keten: van het vinden van doelen tot het verkrijgen van eerste toegang. Eerst gebruiken de aanvallers openbare scanhulpmiddelen zoals FOFA en ZoomEye om internet-facing VPN- en firewall-appliances te identificeren en te clusteren op productkenmerken.
Exploits en brute force
Vervolgens proberen aanvallers kwetsbaarheden uit of gaan ze over op wachtwoordaanvallen. In het rapport worden twee concrete kwetsbaarheden genoemd die in scripts zijn verwerkt:
- CVE-2025-64446: een path traversal-kwetsbaarheid in FortiWeb
- CVE-2026-0257: een authentication bypass-kwetsbaarheid in PAN-OS en Prisma Access
Om dat te doen gebruiken de aanvallers zogenoemde Python scripts, met namen als fortnew.py en exploit_2026_0257.py. Daarnaast worden ook brute-force pogingen genoemd met gangbare gebruikersnamen en wachtwoorden om toegang te verkrijgen.
Eerste foothold via OpenConnect
Na het verkrijgen van toegang leggen de aanvallers een foothold vast via een OpenConnect-VPNverbinding. Daarna volgt de fase waarin meer gegevens worden verzameld en extra credentials worden gestolen.
Van credential theft naar verdere uitbuiting
Wat dit incident extra schadelijk maakt, is dat de activiteiten niet ophouden bij alleen toegang. De rapportage beschrijft post-exploitation stappen, waaronder enumeratie van Active Directory, SMB en zelfs informatie over geïnstalleerde antivirusoplossingen.
De aanvallers gebruiken daarbij ook legitieme administratieve en pentestingtools om dieper in omgevingen door te dringen. Voorbeelden die in het rapport genoemd worden: NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam en Mimikatz.
Aanhoudende toegang: remote beheertools en frameworks
Om te blijven zitten nadat ze binnen zijn, richten de aanvallers zich op persistence. Dit gebeurt met legitieme remote access tools, zoals MeshCentral Agent, Atera, Teramind en AnyDes. Ook wordt een open-source adversary emulation framework genoemd: AdaptixC2.
Dit is een belangrijk signaal: zelfs als je systemen “normaal” blijven lijken, kunnen er nog steeds verborgen toegangsmechanismen actief zijn.
Datadiefstal en exfiltratie naar cloudopslag
De gestolen data wordt vervolgens geëxfiltreerd. Het rapport beschrijft het gebruik van Rclone om data naar Wasabi S3 buckets en MEGA cloud drives te verplaatsen. Daarmee sluit de actor het traject af met het exporteren van gevoelige informatie buiten het bedrijfsnetwerk.
70.000+ credentials: waarom dit zo urgent is
Volgens Group-IB en NyxLab zijn meer dan 70.000 blootgestelde credentials gekoppeld aan netwerkapparaten en daarnaast ook LDAP-dumps. Deze combinatie vergroot de kans dat aanvallers niet alleen systemen hebben overgenomen, maar ook dat ze toegangsdelen kunnen doorverkopen of hergebruiken voor later misbruik.
Bovendien past de campagne in een breder patroon van initial access als dienst of als onderdeel van een affiliate-achtige keten. De onderzoekers beoordelen dat k0t connecties kan hebben met ransomwaregroepen zoals Qilin en The Gentlemen, al blijft de exacte aard van die relatie onduidelijk.
Overlap met FortiBleed: wat je moet weten
In de tijdlijn is er overlap met een andere campagne rond FortiBleed. Het rapport vermeldt ook dat de onderzoekers een “negligible overlap” zagen tussen gecompromitteerde data uit deze activiteit en FortBleed.
Met andere woorden: het lijkt erop dat er verschillende datasets of operator-subsets betrokken kunnen zijn binnen een bredere aanvalsketen. Voor defenders maakt dat vooral één ding belangrijk: behandel aanwijzingen als relevant voor jouw omgeving, ook als je niet “zeker” weet of het FortBleed is.
Wat je nu kunt doen: praktische herstelstappen
De onderzoekers adviseren organisaties om de genoemde kwetsbaarheden te verhelpen. Hieronder staan maatregelen die direct aansluiten op de aanvalstechniek in het rapport.
1) Inventariseer internet-facing edge-apparaten
Begin met een harde lijst van alle firewalls en VPN’s die van buitenaf bereikbaar zijn. Controleer per systeem: model, versie en of de dienst echt noodzakelijk publiek toegankelijk is. Verwijder of beperk routes waar dat kan.
2) Patch kwetsbaarheden en verifieer configuraties
Richt je op de kwetsbaarheden die in de rapportage worden genoemd (CVE-2025-64446 en CVE-2026-0257). Ga vervolgens verder met het controleren van authenticatie-instellingen en bijbehorende access-control flows.
3) Draaien van credentials: reset en revokings
Als er 70.000+ credentials zijn blootgelegd in het wild, is de kans groot dat wachtwoorden (of tokens/secret materiaal) al misbruikt zijn. Overweeg gefaseerde wachtwoordrotatie voor accounts die aan VPN/firewall toegang hangen en revokings waar je dat kunt afdwingen.
4) Zoek naar persistence en legitieme backdoors
Omdat persistence via legitieme remote tools kan lopen, is alleen “scan op malware” niet genoeg. Kijk ook naar onverwachte installaties of agents, afwijkende netwerkverbindingen en afwijkend gedrag richting cloudopslag.
5) Analyseer exfiltratie-indicatoren
Het gebruik van Rclone en cloudroutes (Wasabi S3 en MEGA) geeft aanknopingspunten voor detectie. Volg logs op ongebruikelijke uploads, externe accounts en dataverplaatsingen tijdens periodes van verdachte toegang.
Extra context: eerdere signalen over vergelijkbare aanvalspatronen
Als je wilt begrijpen hoe aanvallers met scans en misbruik van edge-doelen sneller toegang structureren, kan dit onderwerp aansluiten op eerder besproken aanvallen en campagnes op netwerk- en endpointniveau. Lees bijvoorbeeld ook:
- Tor exitrelays en rogue AI-agents: wat je moet zien in dreigingspatronen
- LiteLLM supply chain aanval: PyPI en Docker
- SQL-injectie in VeloCloud Orchestrator: nu patchen
Deze links gaan niet precies over dezelfde actor, maar helpen wel om je bredere verdedigingsstrategie scherp te houden: van patching tot het herkennen van herhaalbare aanvalsketens.
Conclusie
Deze campagne maakt pijnlijk duidelijk hoe snel toegankelijke VPN- en firewallapparatuur kan veranderen in een toegangspoort voor credential theft en daarna verdere compromittering. Met 70.000+ credentials als harde indicator zit de echte dreiging niet alleen in het “inbreken”, maar vooral in de vervolgfasen: persistence, interne verkenning en exfiltratie naar cloudopslag.
Pak daarom nu door: inventariseer je internet-facing edge-apparaten, patch de relevante kwetsbaarheden, roteer en revok e credentials waar nodig en controleer op tekenen van aanhoudende toegang. Hoe eerder je dat doet, hoe kleiner de kans dat aanvallers hun volgende stap kunnen uitvoeren.
Bron: https://thehackernews.com/2026/10/hackers-breach-enterprise-firewalls-and.html
