Grupa hakerska znana jako k0t przeprowadziła szeroko zakrojoną kampanię wymierzoną w urządzenia brzegowe sieci, w tym firewalle Fortinet FortiGate oraz rozwiązania Palo Alto Networks GlobalProtect. Atakujący nie wybierali konkretnych branż, lecz skupiali się na masowym skanowaniu publicznie dostępnych urządzeń VPN i firewalli przy użyciu narzędzi takich jak FOFA czy ZoomEye.
Napastnicy wykorzystywali konkretne podatności, w tym błędy typu path traversal w FortiWeb (CVE-2025-64446) oraz obejście uwierzytelniania w systemach PAN-OS i Prisma Access (CVE-2026-0257). Po uzyskaniu wstępnego dostępu, hakerzy instalowali narzędzia do utrzymania stałego dostępu, takie jak MeshCentral Agent czy framework AdaptixC2, a następnie przeprowadzali eskalację uprawnień i kradzież danych.
Skutki kampanii są znaczące – zidentyfikowano ponad 70 000 skradzionych poświadczeń oraz zrzuty baz LDAP. Istnieje podejrzenie, że k0t działa jako broker dostępu dla grup ransomware, takich jak Qilin i The Gentlemen, dostarczając im przejęte środowiska korporacyjne.
Ofiary kampanii są rozproszone globalnie, przy czym największy odsetek przypadków odnotowano w regionie Azji i Pacyfiku oraz w Ameryce Łacińskiej. Eksperci zalecają natychmiastowe załatanie wymienionych podatności oraz monitorowanie urządzeń brzegowych pod kątem nieautoryzowanych połączeń VPN.
