Wprowadzenie do problemu / definicja
Urządzenia brzegowe, takie jak firewalle, bramy VPN i portale zdalnego dostępu, od lat należą do najatrakcyjniejszych celów dla cyberprzestępców. Ich przejęcie pozwala ominąć część klasycznych mechanizmów ochronnych i uzyskać bezpośrednią ścieżkę do zasobów organizacji. Najnowsze ustalenia badaczy pokazują, że ten wektor ataku jest wykorzystywany na dużą skalę przeciwko środowiskom opartym o rozwiązania Fortinet oraz Palo Alto Networks.
Opisana kampania wskazuje, że atakujący łączą zautomatyzowane skanowanie Internetu, wykorzystanie znanych podatności oraz próby łamania haseł, aby uzyskać dostęp do urządzeń wystawionych publicznie. Skutkiem takich działań może być nie tylko przejęcie samego urządzenia, ale także eskalacja do poziomu tożsamości, usług katalogowych i infrastruktury wewnętrznej.
W skrócie
Badacze ujawnili szeroko zakrojoną kampanię wymierzoną w firmowe urządzenia brzegowe, w tym FortiGate, FortiWeb oraz Palo Alto GlobalProtect. Operacja została powiązana z aktorem zagrożeń oznaczanym jako k0t, który miał uzyskać dostęp do wielu organizacji na świecie i zgromadzić ponad 70 tysięcy poświadczeń oraz powiązanych danych.
- Celem były publicznie dostępne firewalle, VPN-y i portale zdalnego dostępu.
- Atakujący wykorzystywali zarówno znane luki, jak i słabe lub ponownie użyte hasła.
- Po uzyskaniu dostępu prowadzono działania post-exploitation, utrzymanie trwałości i eksfiltrację danych.
- W części przypadków kompromitacja mogła otwierać drogę do dalszych ataków, w tym ransomware.
Kontekst / historia
Kampania wpisuje się w rosnący trend przenoszenia działań ofensywnych na warstwę edge security, czyli urządzeń dostępnych bezpośrednio z Internetu. Zamiast wybierać ofiary wyłącznie według branży, operatorzy skupiali się na masowej enumeracji zasobów i identyfikacji systemów, które były źle skonfigurowane, niezałatane lub chronione słabymi poświadczeniami.
Według ustaleń badaczy znaczna część kompromitacji miała miejsce między lutym a czerwcem 2026 roku. To odróżnia tę operację od wcześniejszych kampanii skoncentrowanych głównie na kradzieży danych logowania, ponieważ tutaj widoczny jest pełny łańcuch intruzji: od rekonesansu i uzyskania dostępu, przez kradzież sekretów, aż po utrzymanie obecności w środowisku i potencjalne przygotowanie gruntu pod kolejne etapy ataku.
Analiza techniczna
Łańcuch ataku rozpoczynał się od rekonesansu na dużą skalę. Operatorzy wykorzystywali publicznie dostępne narzędzia i wyszukiwarki powierzchni ataku do identyfikacji firewalli, bram VPN oraz portali zdalnego dostępu dostępnych z Internetu. Następnie cele były porządkowane według typu urządzenia i ekspozycji usług.
W środowiskach Fortinet badacze zaobserwowali użycie skryptów automatyzujących atak. Jednym z opisanych wektorów było wykorzystanie podatności CVE-2025-64446 w FortiWeb, która miała umożliwiać wykonywanie operacji administracyjnych za pomocą spreparowanych żądań HTTP lub HTTPS. W praktyce pozwalało to na utworzenie nowego lokalnego konta administratora i wykorzystanie go do dalszych działań.
Jeśli eksploatacja luki nie przynosiła efektu, operatorzy przechodzili do ataków brute force na interfejsy uwierzytelniania urządzeń Fortinet. Kampania pokazuje, że skuteczność zapewniało połączenie dwóch metod: wykorzystywania znanych podatności oraz nadużywania słabych, domyślnych lub ponownie użytych haseł. Po uzyskaniu dostępu pobierano konfiguracje urządzeń i odszyfrowywano zapisane w nich sekrety, co mogło prowadzić do odzyskania poświadczeń LDAP, Active Directory, kont administracyjnych i lokalnych.
W ekosystemie Palo Alto Networks odnotowano wykorzystanie CVE-2026-0257 w komponentach GlobalProtect. Opisywany scenariusz obejmował obejście uwierzytelniania w określonych warunkach konfiguracyjnych. Atakujący generowali spreparowane cookie, a następnie wykorzystywali je do zestawienia sesji VPN i uzyskania stabilnego dostępu do środowiska ofiary.
Po uzyskaniu początkowego dostępu rozpoczynała się faza post-exploitation. Badacze wskazali wykorzystanie narzędzi takich jak NetExec, Impacket, Kerbrute, noPac, PetitPotam oraz Mimikatz. Służyły one do rozpoznania domeny, enumeracji udziałów SMB, identyfikacji rozwiązań bezpieczeństwa, ekstrakcji sekretów oraz prób eskalacji uprawnień do poziomu administratora domeny.
Dla utrzymania trwałości operatorzy instalowali legalne lub często nadużywane narzędzia zdalnego zarządzania, w tym MeshCentral Agent, Atera, Teramind i AnyDesk. W niektórych przypadkach wykorzystywano również framework AdaptixC2. Eksfiltracja danych była realizowana z użyciem Rclone do zasobów chmurowych, w tym środowisk zgodnych z S3 oraz usług przechowywania plików.
Konsekwencje / ryzyko
Najważniejszy wniosek z tej kampanii jest prosty: kompromitacja urządzenia brzegowego nie jest wyłącznie incydentem sieciowym. Może oznaczać pełne naruszenie tożsamości w organizacji. Jeżeli atakujący pobiorą konfigurację urządzenia i odzyskają zapisane w niej sekrety, incydent może szybko rozszerzyć się na katalogi LDAP, Active Directory, konta administracyjne, konta serwisowe oraz zdalny dostęp użytkowników.
Ryzyko dla organizacji obejmuje kilka warstw:
- utrata poufności poświadczeń i danych konfiguracyjnych,
- ustanowienie trwałego dostępu z użyciem legalnych agentów administracyjnych,
- przygotowanie środowiska do ataku ransomware lub kradzieży danych,
- możliwość dalszej odsprzedaży dostępu na forach przestępczych,
- utrudniona detekcja ze względu na użycie narzędzi, które mogą występować legalnie w środowisku.
Rekomendacje
Organizacje powinny w pierwszej kolejności przeprowadzić pełny przegląd publicznie wystawionych urządzeń FortiGate, FortiWeb oraz Palo Alto GlobalProtect. Należy zweryfikować poziom aktualizacji, konfigurację usług oraz to, czy interfejsy administracyjne są rzeczywiście dostępne z Internetu. Tam, gdzie to możliwe, zarządzanie powinno zostać odseparowane od publicznej ekspozycji i objęte dodatkowymi mechanizmami kontroli dostępu.
Ważnym krokiem jest również kontrola lokalnych kont administratorów na urządzeniach brzegowych. Każde nieautoryzowane konto, zmiana list zaufanych hostów, eksport konfiguracji lub nietypowa aktywność administracyjna powinny być traktowane jako potencjalny wskaźnik kompromitacji. Konieczna jest także analiza logów uwierzytelniania pod kątem powtarzalnych błędów logowania, nietypowych źródeł połączeń oraz anomalii w sesjach VPN.
Jeżeli istnieje podejrzenie naruszenia, sama aktualizacja urządzenia nie wystarczy. Należy przeprowadzić rotację wszystkich poświadczeń, które mogły znajdować się w konfiguracji urządzenia lub były wykorzystywane do integracji z LDAP i Active Directory. Dotyczy to kont administracyjnych, serwisowych, lokalnych oraz danych dostępu do VPN. Równolegle warto unieważnić aktywne sesje i przeanalizować możliwy ruch lateralny w sieci.
Z perspektywy detekcji warto monitorować uruchamianie i instalację narzędzi takich jak OpenConnect, MeshCentral, Atera, AnyDesk, Teramind, Rclone, Impacket czy NetExec. Ich obecność nie musi oznaczać incydentu, ale zawsze wymaga oceny kontekstu operacyjnego i biznesowego.
Podsumowanie
Opisana kampania potwierdza, że urządzenia brzegowe pozostają jednym z najbardziej krytycznych punktów ryzyka w nowoczesnych środowiskach przedsiębiorstw. Połączenie masowego skanowania, wykorzystania znanych luk, brute force i legalnych narzędzi administracyjnych daje atakującym skuteczny, skalowalny model działania.
Ponad 70 tysięcy zagrożonych poświadczeń oraz dowody na utrzymywanie trwałego dostępu i eksfiltrację danych pokazują, że bezpieczeństwo firewalli i bram VPN należy traktować jako element ochrony tożsamości, a nie wyłącznie ochrony sieci. Szybkie łatanie, ograniczanie ekspozycji, kontrola kont uprzywilejowanych i aktywne threat hunting na warstwie edge stają się dziś podstawą odporności operacyjnej.
Źródła
- The Hacker News — Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials — https://thehackernews.com/2026/10/hackers-breach-enterprise-firewalls-and.html
- Group-IB Blog — Stray Cat, Open Doors: How k0t Wanders Through the Network Edge — https://www.group-ib.com/blog/stray-cat-network-edge/