یک کمپین گسترده با هدف سرقت اعتبار (Credential Theft)، ایجاد دسترسی پایدار و استخراج داده‌های سازمانی، تجهیزات FortiGate، FortiWeb و Palo Alto GlobalProtect را هدف قرار داده است. تحقیقات نشان می‌دهد که این فعالیت‌ها توسط عاملی به نام k0t هدایت می‌شود که منجر به افشای بیش از ۷۰,۰۰۰ اعتبار کاربری در قالب رکوردهای تجهیزات شبکه و دامپ‌های LDAP شده است.
روش‌های شناسایی و شناسایی اهداف
عامل تهدید (Threat Actor) برای تهیه لیست اهداف خود از سرویس‌هایی مانند FOFA و ZoomEye و همچنین خدمات زیرزمینی که آدرس تجهیزات فیلتر شده بر اساس محصول را ارائه می‌دهند، استفاده می‌کند. اولویت این گروه، شناسایی زیرساخت‌های VPN و فایروال‌های در معرض دسترس (Exposed) است، بدون اینکه صنعت خاصی را هدف قرار دهند.
جزئیات فنی حملات به Fortinet
این گروه از یک ابزار سفارشی پایتون به نام “FortiGate Security Scanner” استفاده می‌کند که قابلیت‌های زیر را دارد:
- بهره‌برداری از FortiWeb: استفاده از آسیب‌پذیری CVE-2025-64446 (نوع Relative Path Traversal) برای اجرای دستورات مدیریتی بدون نیاز به احراز هویت. این روش منجر به ایجاد یک حساب مدیر با دسترسی نامحدود می‌شود.
- حمله به FortiGate: از آنجایی که تجهیزات FortiGate در برابر آسیب‌پذیری مذکور در FortiWeb مقاوم هستند، ابزار مذکور از روش Brute-force علیه REST API آن‌ها استفاده می‌کند.
- رمزگشایی داده‌ها: پس از احراز هویت موفق، این ابزار تنظیمات دستگاه را دانلود کرده و اسرار ذخیره شده را با استفاده از کلید پیش‌فرض AES در FortiOS (مرتبط با CVE-2019-6693) رمزگشایی می‌کند. این امر می‌تواند منجر به دسترسی به اعتبارهای LDAP و نفوذ به Active Directory شود.
حملات به Palo Alto GlobalProtect
برای تجهیزات GlobalProtect، مهاجمان از اسکنر مجزایی استفاده می‌کنند که آسیب‌پذیری CVE-2026-0257 را از طریق جعل کوکی‌های Override احراز هویت (Authentication-override cookie forgery) هدف قرار می‌دهد. این نقص امنیتی اجازه ایجاد اتصالات VPN غیرمجاز را می‌دهد و سپس با استفاده از OpenConnect، دسترسی شبکه برقرار می‌شود.
فعالیت‌های پس از نفوذ و تداوم دسترسی
پس از ورود به شبکه، مهاجمان با استفاده از ابزارهای NetExec، Impacket، Kerbrute و Mimikatz به شناسایی محیط و جمع‌آوری اعتبارها می‌پردازند. فعالیت‌های مشاهده شده شامل استخراج اسرار ویندوز، جمع‌آوری هش‌های حساب‌های سرویس Kerberos و تلاش برای کسب دسترسی Domain Administrator از طریق زنجیره‌های حمله noPac است.
برای تداوم دسترسی (Persistence)، این گروه از زیرساخت MeshCentral برای مدیریت نقاط انتهایی (Endpoints) آلوده استفاده کرده است. همچنین برای استخراج داده‌ها از Rclone و برای ایجاد کانال‌های فرمان و کنترل (C2) از AdaptixC2 و ابزارهای مدیریت از راه دور تجاری بهره می‌برند.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- اعمال سریع‌ترین وصله‌های امنیتی (Patch) منتشر شده توسط سازندگان.
- بررسی دقیق حساب‌های مدیریتی ایجاد شده غیرمنتظره.
- پایش نشست‌های (Sessions) VPN غیرمجاز و بررسی وجود Agentهای مدیریت از راه دور ناشناخته.
- تغییر رمز عبور (Rotate) تمامی اعتبارهای دایرکتوری که احتمال افشای آن‌ها وجود دارد.
- در مورد GlobalProtect، توصیه می‌شود پس از پچ کردن، تمامی نشست‌های فعال را متوقف کنید، زیرا دسترسی‌های موجود ممکن است پس از اصلاح آسیب‌پذیری نیز باقی بمانند.
