k0t Operasyonu: Açık Firewall ve VPN'lerden 70 Binden Fazla Kimlik Bilgisi Sızdı

Güvenlik araştırmacıları, internete açık ağ kenarı cihazlarını hedef alan geniş çaplı bir saldırı kampanyasını belgeledi. Fortinet FortiGate ve Palo Alto Networks GlobalProtect gibi güvenlik duvarları ile VPN cihazlarının hedef alındığı kampanyada operatörler, dünya genelinde çok sayıda kuruluşa erişim sağladı. Grup-IB ve NyxLab tarafından 23 Ekim 2026'da yayımlanan ortak incelemeye göre bazı kurbanlarda kalıcı uzaktan erişim kuruldu ve veriler dışarı çıkarıldı.

Kampanyanın arkasındaki tehdit aktörü k0t olarak tanımlanıyor. CryptoFeel, Member19 ve QazWsxShop takma adlarını da kullanan bu aktör, ilk kez 22 Ekim 2025'te görüldü. Araştırmacılar k0t'u, Qilin ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı şekilde değerlendiriyor; aktör büyük olasılıkla bir ilk erişim simsarı ya da iştirakçi olarak çalışıyor. Karanlık web faaliyetleri, k0t'un zafiyet istismar kodu ve araçları satın almaya, ayrıca FOFA ve ZoomEye gibi arama motorlarının premium hesaplarına ilgi duyduğunu gösteriyor.

Ayrıntılar

Saldırı zinciri, açık cihazların taranmasıyla başlıyor. Saldırganlar internete dönük VPN ve güvenlik duvarı cihazlarını FOFA ile ZoomEye üzerinden tespit ediyor, ürün bazında filtreleyerek hedef listeleri çıkarıyor. Ardından iki farklı zafiyeti kullanıyor: FortiWeb'deki dizin geçişi açığı CVE-2025-64446 ve Palo Alto Networks PAN-OS ile Prisma Access'teki kimlik doğrulama atlatma açığı CVE-2026-0257. Saldırganlar bu zafiyetleri "fortnew.py" ile "exploit_2026_0257.py" adlı özel Python betikleri üzerinden istismar ediyor ya da yaygın kullanıcı adı ve parola kombinasyonlarıyla kaba kuvvet saldırısı deniyor.

İlk erişimin ardından OpenConnect VPN bağlantısıyla hedefe yerleşiliyor. İç ağda Active Directory, SMB paylaşımları ve yüklü antivirüs çözümü taranarak ek kimlik bilgileri toplanıyor. Kalıcılık içinse MeshCentral Agent, Atera, Teramind ve AnyDes gibi meşru uzaktan erişim araçlarıyla birlikte AdaptixC2 adlı açık kaynaklı bir çerçeve kullanılıyor. Ele geçirilen veriler Rclone aracılığıyla Wasabi S3 depolama alanlarına ve MEGA bulut sürücülerine aktarılıyor.

Saldırıların bir diğer dikkat çekici yönü, kurumsal ortamlara sızmak için NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz gibi yöneticilerin ve sızma testi uzmanlarının da kullandığı araçlardan yararlanılması. Bu yöntem hem tespit edilmeyi zorlaştırıyor hem de saldırının sıradan bir BT faaliyetine benzemesini sağlıyor.

Mağdurların dağılımı saldırının ayrım gözetmediğini ortaya koyuyor. Kurbanların yaklaşık yüzde 38'i Asya-Pasifik bölgesinde; Latin Amerika yüzde 31,9, Avrupa yüzde 15,8, Orta Doğu ve Kuzey Afrika ise yüzde 12,7 paya sahip. Saldırganın açıkladığı coğrafi öncelik sıralaması ise ABD ve Kanada ile başlıyor, ardından Avrupa ülkeleri ve seçili Asya-Pasifik pazarları geliyor.

Rapora göre kampanyayla bağlantılı olarak 70 binden fazla kimlik bilgisi ve LDAP dökümü tespit edildi. Uzlaşmaların önemli bir bölümü Şubat-Haziran 2026 arasında gerçekleşti.

Arka plan

Bu kampanya, araştırmacıların FortiBleed adını verdiği bir başka kimlik bilgisi toplama faaliyetiyle aynı döneme denk geliyor. Ancak Group-IB ve NyxLab, iki veri kümesi arasında ihmal edilebilir düzeyde örtüşme buldu. Bu durum, k0t'un faaliyetinin FortiBleed çatısı altındaki ayrı bir veri seti, farklı bir operatör alt kümesi ya da ilişkili bir erişim operasyonu olabileceğini düşündürüyor.

k0t'un Qilin ve The Gentlemen ile olan bağlantısı ise kampanya kurbanlarının birçoğunun daha sonra bu fidye yazılımı gruplarının veri sızıntısı sitelerinde listelenmesinden kaynaklanıyor. Yine de iki grup arasındaki ilişkinin kesin niteliği henüz net değil. Bu belirsizlik, fidye yazılımı ekosisteminde ilk erişim satıcıları ile çekirdek gruplar arasındaki sınırların ne kadar geçişken olabildiğini bir kez daha gösteriyor.

Ne anlama geliyor?

k0t'un hedef seçme yöntemi, bu kampanyayı sıradan bir fidye yazılımı ön aşamasından ayırıyor. Araştırmacıların aktardığına göre saldırgan, tek tek kuruluşları araştırmak yerine açık cihazları büyük ölçekte tarayarak hedef belirliyor. Cihazın ürünü ve konumu, o kuruluşun faaliyet gösterdiği sektörden daha belirleyici. Bu da savunma tarafı için rahatsız edici bir sonuç doğuruyor: Sektör ya da büyüklük fark etmeksizin, yaması gecikmiş ve internete açık bir güvenlik duvarı veya VPN cihazı tek başına yeterli bir hedef haline geliyor.

k0t appears to select potential targets by enumerating exposed network appliances at scale rather than researching individual organizations. His stated geographic priorities begin with the United States and Canada, followed by European countries and selected APAC markets.

Group-IB ve NyxLab araştırmacıları

Kuruluşlar açısından asıl mesele, raporun da vurguladığı gibi zafiyetlerin vakit kaybetmeden giderilmesi. CVE-2025-64446 ve CVE-2026-0257 gibi açıklar için üreticilerin yayımladığı yamalar uygulanmadığı sürece, ağ kenarındaki cihazlar saldırganlar için açık kapı işlevi görmeye devam edecek. Kampanyanın kurban dağılımında Avrupa ve Orta Doğu'nun payı görece düşük olsa da, k0t'un ölçek tabanlı tarama yaklaşımı coğrafi sınır tanımıyor. Türkiye'deki kuruluşların da özellikle VPN ve güvenlik duvarı cihazlarının güncellemelerini, erişim politikalarını ve sızma girişimi izlerini düzenli olarak denetlemesi gerekiyor. Araştırmacıların tavsiyesi net: Raporda anılan güvenlik açıklarının giderildiğinden emin olun.