k0t Grubu 70.000'den Fazla Kimlik Bilgisini Ele Geçirdi: Fortinet ve Palo Alto Güvenlik Duvarları Hedefte

Siber güvenlik araştırmacıları, Fortinet FortiGate ve Palo Alto Networks GlobalProtect güvenlik duvarları gibi ağ kenarı cihazlarını hedef alan büyük ölçekli bir siber saldırı kampanyasının ayrıntılarını kamuoyuyla paylaştı. Group-IB ve NyxLab tarafından yürütülen ortak soruşturmaya göre kampanya, dünya genelinde çok sayıda kuruluşun sistemlerine sızmayı başardı; saldırganlar bazı kurbanlar üzerinde kalıcı uzaktan erişim kurarak veri sızdırma girişiminde bulundu.
Söz konusu kampanya, CryptoFeel, Member19 ve QazWsxShop takma adlarıyla da tanınan k0t adlı tehdit aktörüne atfediliyor. Tehdit aktörünün siber arenada ilk kez 22 Ekim 2025'te görüldüğü belirlendi. Araştırmacılar, k0t'un Qilin ve The Gentlemen gibi fidye yazılımı gruplarıyla bağlantılı olduğunu değerlendiriyor; aktörün bu yapılar içinde ilk erişim simsarı ya da bağlı operatör olarak hareket ettiği öngörülüyor.

Saldırının Kapsamı ve Coğrafi Dağılımı​

Kampanyanın kurbanları küresel ölçekte ve geniş bir sektör yelpazesine yayılıyor. Bunun temel nedeni, saldırganların belirli bir sektörü değil, internete açık ağ cihazlarını hedef almasıdır. Araştırma bulgularına göre ihlallerin büyük bölümü Şubat-Haziran 2026 tarihleri arasında gerçekleşti; bu dönem, FortiBleed kod adlı başka bir kimlik bilgisi toplama kampanyasıyla da örtüşüyor.
Kurban dağılımına bakıldığında, mağdurların yaklaşık yüzde 38'inin Asya-Pasifik bölgesinde yoğunlaştığı görülüyor. Bunu yüzde 31,9 ile Latin Amerika, yüzde 15,8 ile Avrupa ve yüzde 12,7 ile Orta Doğu ve Kuzey Afrika izliyor. Araştırmacılar, k0t'un öncelikli coğrafi hedeflerinin başında ABD ve Kanada'nın geldiğini, akabinde Avrupa ülkeleri ile belirli Asya-Pasifik pazarlarının yer aldığını belirtiyor.

Saldırı Zinciri: Keşiften Veri Sızdırmaya​

Saldırı süreci birkaç aşamadan oluşuyor. İlk adımda tehdit aktörü, FOFA ve ZoomEye gibi kamuya açık tarama araçlarını kullanarak internete açık VPN ve güvenlik duvarı cihazlarını tespit ediyor; ardından bu cihazları ürün türüne göre filtreleyerek potansiyel hedef listeleri oluşturuyor.
İkinci aşamada saldırgan, FortiWeb'deki CVE-2025-64446 numaralı yol geçişi açığı ile Palo Alto Networks PAN-OS ve Prisma Access'teki CVE-2026-0257 numaralı kimlik doğrulama atlama açığı gibi bilinen güvenlik zafiyetlerini, fortnew.py ve exploit_2026_0257.py adlı özel Python betikleri aracılığıyla istismar etmeye çalışıyor. Alternatif olarak yaygın kullanıcı adı-parola kombinasyonlarıyla kaba kuvvet saldırıları da uyguluyor.
Sisteme ilk erişim sağlandıktan sonra OpenConnect VPN bağlantısı kurularak kalıcı bir dayanak noktası elde ediliyor. Sonraki aşamada Active Directory, SMB ve kurulu antivirüs çözümlerinin tespiti gibi sömürü sonrası eylemler ve ek kimlik bilgisi hırsızlığı gerçekleştiriliyor. Kalıcılığı sağlamak için MeshCentral Agent, Atera, Teramind ve AnyDes gibi meşru uzaktan erişim araçlarının yanı sıra AdaptixC2 adlı açık kaynaklı bir düşman emülasyon çerçevesi kullanılıyor. Son aşamada ise ele geçirilen veriler Rclone aracılığıyla Wasabi S3 depolama alanlarına ve MEGA bulut sürücülerine aktarılıyor.

Kullanılan Araçlar ve Teknikler​

Saldırılarda meşru yönetici ve sızma testi araçlarından da yararlanılıyor. NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam ve Mimikatz, saldırganların kurumsal ağlara daha derinlemesine sızmasını sağlayan araçlar arasında yer alıyor. Araştırmacılar, k0t'un tek tek kuruluşları araştırmak yerine internete açık ağ cihazlarını toplu biçimde tarayarak potansiyel hedefleri seçtiğini vurguluyor.
Kampanyayla ilişkilendirilen 70.000'den fazla açık kimlik bilgisi ve LDAP dökümü tespit edildi. Group-IB ve NyxLab, bu kampanya ile FortiBleed arasında son derece sınırlı bir örtüşme bulunduğunu bildiriyor. Araştırmacılara göre bu durum, söz konusu verinin ayrı bir veri kümesi, farklı bir operatör alt grubu ya da FortiBleed ile bağlantılı daha geniş bir erişim operasyonunun parçası olabileceğine işaret ediyor.

Fidye Yazılımı Gruplarıyla Bağlantı​

k0t ile Qilin ve The Gentlemen arasındaki bağlantı, kampanyanın kurbanlarının daha sonra bu fidye yazılımı gruplarının veri sızıntısı sitelerinde listelenmesine dayanıyor. Ancak araştırmacılar, tehdit aktörü ile söz konusu gruplar arasındaki ilişkinin tam niteliğinin henüz netlik kazanmadığını belirtiyor. Soruşturmayı yürüten ekipler, etkilenen kuruluşları raporda belirtilen güvenlik açıklarını en kısa sürede gidermeye çağırıyor.

Sıkça Sorulan Sorular​

k0t kimdir ve bu tehdit aktörü hangi takma adlarla biliniyor?​

k0t, CryptoFeel, Member19 ve QazWsxShop takma adlarını da kullanan bir siber tehdit aktörüdür. Siber arenada ilk kez 22 Ekim 2025'te görülen k0t'un, Qilin ve The Gentlemen gibi fidye yazılımı gruplarıyla bağlantılı olduğu değerlendiriliyor; ilk erişim simsarı ya da bağlı operatör olarak hareket ettiği öngörülüyor.

Kampanya hangi güvenlik açıklarını istismar ediyor?​

Kampanyada FortiWeb'deki CVE-2025-64446 numaralı yol geçişi açığı ile Palo Alto Networks PAN-OS ve Prisma Access'teki CVE-2026-0257 numaralı kimlik doğrulama atlama açığı istismar ediliyor. Saldırganlar bu açıkları özel Python betikleri aracılığıyla kullanıyor; ayrıca yaygın kullanıcı adı-parola kombinasyonlarıyla kaba kuvvet saldırıları da uyguluyor.

Kampanyadan en çok hangi bölgeler etkilendi?​

Kurban dağılımına göre ihlallerin yaklaşık yüzde 38'i Asya-Pasifik bölgesinde yoğunlaşıyor. Bunu yüzde 31,9 ile Latin Amerika, yüzde 15,8 ile Avrupa ve yüzde 12,7 ile Orta Doğu ve Kuzey Afrika izliyor. Araştırmacılar, k0t'un öncelikli hedef olarak ABD ve Kanada'yı belirlediğini aktarıyor.

Saldırganlar ele geçirdikleri verileri nasıl sızdırıyor?​

Toplanan veriler, Rclone aracı kullanılarak Wasabi S3 depolama alanlarına ve MEGA bulut sürücülerine aktarılıyor. Veri sızdırma öncesinde saldırganlar, kalıcı erişimi MeshCentral Agent, Atera, Teramind ve AnyDes gibi meşru uzaktan erişim araçlarıyla sağlıyor.

Bu kampanya ile FortiBleed arasında nasıl bir ilişki var?​

Araştırmacılar, iki kampanya arasında son derece sınırlı bir veri örtüşmesi bulunduğunu bildiriyor. İhlallerin büyük bölümünün gerçekleştiği Şubat-Haziran 2026 dönemi FortiBleed ile örtüşse de Group-IB ve NyxLab, bu durumun ayrı bir veri kümesine, farklı bir operatör alt grubuna ya da FortiBleed ile bağlantılı daha geniş bir erişim operasyonuna işaret edebileceğini belirtiyor.