Eine Firewall ist die Haustür deines Netzes. Und genau diese Türen hat ein Akteur namens k0t im großen Stil aufgebrochen. Die Sicherheitsfirmen Group-IB und NyxLab haben die Kampagne am 23. Oktober 2026 beschrieben: über 70.000 Zugangsdaten von Netzwerkgeräten und LDAP-Dumps.
WER IST k0t?
Der Akteur taucht auch unter den Namen CryptoFeel, Member19 und QazWsxShop auf und ist seit dem 22. Oktober 2025 aktiv. Die Forscher vermuten Verbindungen zu den Ransomware-Gruppen Qilin und The Gentlemen — wahrscheinlich als Zugangs-Händler oder Partner. Die genaue Rolle ist unklar, viele Opfer tauchten später auf den Leak-Seiten der Banden auf.
DER ANGRIFFSWEG: Von der Suche bis zum Datenabfluss
- Aufspüren: Mit den Suchmaschinen FOFA und ZoomEye findet k0t offene VPN- und Firewall-Geräte.
- Einbruch: Über Schwachstellen oder Brute-Force mit gängigen Passwörtern. Genannt werden CVE-2025-64446 (Path-Traversal in Fortinet FortiWeb) und CVE-2026-0257 (Authentifizierungs-Umgehung in PAN-OS und Prisma Access).
- Fuß in der Tür: Eine VPN-Verbindung per OpenConnect.
- Umsehen: Active Directory, SMB-Freigaben und installierte Virenscanner werden ausgespäht.
- Festsetzen: Fernwartungstools wie MeshCentral, Atera und Teramind sowie das Framework AdaptixC2.
- Abtransport: Daten wandern per Rclone zu Wasabi-S3-Buckets und MEGA.
Für die Bewegung im Netz nutzte die Gruppe bekannte Werkzeuge wie NetExec, Impacket, Mimikatz, noPac und PetitPotam.
ZAHLEN, DIE ZÄHLEN
- Über 70.000 erbeutete Zugangsdaten
- Opfer: rund 38 % Asien-Pazifik, 31,9 % Lateinamerika, 15,8 % Europa, 12,7 % Naher Osten und Nordafrika
- Viele Einbrüche zwischen Februar und Juni 2026
- Priorität laut Zielliste: USA und Kanada, dann Europa und ausgewählte APAC-Länder
Mit der FortiBleed-Kampagne gibt es laut den Forschern nur eine „vernachlässigbare“ Überschneidung. Es könnte ein anderer Datensatz oder ein Teil desselben Umfelds sein.
WAS DU TUN SOLLTEST
Die Berichterstattung nennt keine eigenen Gegenmaßnahmen, außer die genannten Lücken zu schließen. Aus dem Angriffsweg ergibt sich sinnvolle Hygiene:
- Patchstand von FortiWeb und PAN-OS/Prisma Access prüfen.
- Verwaltungs- und VPN-Oberflächen nur dort erreichbar machen, wo es nötig ist.
- MFA für alle VPN-Zugänge erzwingen.
- Zugangsdaten aus LDAP/AD rotieren, wenn Geräte länger ungepatcht im Netz hingen.
- Auf unbekannte Fernwartungstools und große Rclone-Transfers achten.
FAZIT: Zugang ist die eigentliche Beute
Ransomware beginnt oft nicht mit der Verschlüsselung, sondern mit gekauften Zugängen. Wer seine Firewall regelmäßig patcht und MFA nutzt, nimmt Händlern wie k0t den billigen Einstieg.