Cibercriminosos invadem firewalls e VPNs corporativos e expõem mais de 70 mil credenciais
Uma operação atribuída a um agente identificado como k0t explorou equipamentos de segurança e portais de acesso remoto expostos à internet. Em relatório divulgado em 21 de outubro, a Group-IB, em parceria com a NyxLab, contabilizou mais de 70 mil credenciais relacionadas à campanha. O material inclui dados de acesso a dispositivos de rede e informações extraídas de diretórios LDAP.
O volume, porém, não significa que todos os registros correspondam a invasões confirmadas. Os pesquisadores identificaram 84 equipamentos comprometidos distribuídos por 28 grupos ativos em um servidor MeshCentral. Como não foi possível estabelecer com precisão quantas organizações foram atingidas, a quantidade de domínios únicos foi tratada como um número mínimo de vítimas.
A campanha teria começado por meio da exploração de duas vulnerabilidades. Em dispositivos FortiWeb, os criminosos recorreram à CVE-2025-64446, uma falha de travessia de diretório usada para criar uma conta com privilégios de administrador. Já no GlobalProtect, da Palo Alto Networks, a CVE-2026-0257 teria permitido contornar a autenticação por meio de um cookie forjado.
Os equipamentos FortiGate não são afetados pela vulnerabilidade do FortiWeb. Nesses casos, a entrada ocorreu por tentativa de adivinhar senhas comuns, em ataques de força bruta. Depois de obter acesso ao FortiGate, os operadores baixaram arquivos de configuração e recuperaram segredos armazenados com o uso da chave padrão de criptografia do FortiOS, falha registrada como CVE-2019-6693.
O acesso inicial também podia servir como etapa para alcançar sistemas mais importantes da rede. Segundo a análise, os invasores combinaram técnicas conhecidas como noPac para tentar obter privilégios de administrador de domínio – uma posição que pode permitir controle amplo sobre contas, dispositivos e recursos corporativos.
Para se manter nos ambientes invadidos, o grupo empregou o MeshCentral e o AdaptixC2, além de ferramentas legítimas de administração remota, como Atera e AnyDesk. O serviço ngrok também foi usado na operação. Para transferir arquivos e dados, os criminosos recorreram ao Rclone, ferramenta capaz de movimentar conteúdo para serviços de armazenamento em nuvem.
A distribuição geográfica dos domínios identificados aponta a região da Ásia-Pacífico como a mais representada, com 37,6% do total. A América Latina também aparece com participação expressiva, embora o relatório não informe um percentual. Os pesquisadores alertam que esses números podem refletir a quantidade de equipamentos vulneráveis e expostos em cada região, e não necessariamente uma preferência deliberada dos invasores por determinados países.
Boa parte dos casos envolvendo FortiGate foi datada entre fevereiro e junho de 2026. Organizações relacionadas à campanha também apareceram em páginas de vazamento associadas aos grupos Qilin e The Gentlemen. Ainda assim, a análise não confirma uma ligação direta entre os operadores e esses grupos. Uma hipótese considerada é que os invasores atuem como corretores de acesso inicial, obtendo entrada em redes para depois repassá-la a outros criminosos.
A possível relação com o conjunto de atividades conhecido como FortiBleed foi avaliada com confiança moderada. Isso indica que há elementos compatíveis, mas não suficientes para afirmar que os incidentes fazem parte da mesma operação.
Para reduzir o risco, empresas devem verificar se firewalls, VPNs e portais de acesso remoto estão atualizados e se as vulnerabilidades citadas foram corrigidas. Também é importante retirar da internet interfaces administrativas que não precisam ser acessíveis externamente e restringir o acesso remoto a endereços e usuários autorizados.
Senhas fracas ou reutilizadas facilitam ataques de força bruta. Por isso, as organizações devem adotar credenciais longas e exclusivas, habilitar autenticação multifator sempre que possível e revisar contas administrativas para remover acessos antigos ou desnecessários. A troca de senhas, por si só, não substitui a correção de falhas nos equipamentos.
A revisão das configurações de firewalls também pode revelar segredos armazenados, contas criadas sem autorização e alterações feitas pelos invasores. Como ferramentas legítimas de administração podem ser usadas para manter o acesso sem chamar atenção, a equipe de segurança deve investigar conexões incomuns, serviços remotos instalados recentemente e transferências inesperadas para a nuvem.
Por fim, empresas que suspeitem de comprometimento devem preservar registros, identificar os sistemas afetados e revogar credenciais potencialmente expostas. A resposta precisa abranger não apenas o dispositivo vulnerável, mas também as contas e os demais servidores aos quais ele poderia dar acesso. Assim, é possível conter a invasão e evitar que uma entrada inicial se transforme no controle de toda a rede corporativa.