INCIDENTE
Campaña k0t expone 70 mil credenciales de firewall e instala backdoors en redes corporativas
Investigadores de Group-IB y NyxLab atribuyen al grupo k0t el robo de más de 70 mil credenciales de red y la instalación de puertas traseras, con abuso de fallas en Fortinet y Palo Alto.
Una campaña atribuida al grupo de amenazas k0t expuso más de 70 mil credenciales de red corporativas y, según los investigadores, fue más allá del robo de inicios de sesión: los atacantes también instalaron backdoors en redes de empresas, creando nuevos puntos de entrada para futuras intrusiones.
El hallazgo lo realizaron los equipos de investigación de Group-IB y NyxLab, que detallaron los métodos observados: abuso de contraseñas en dispositivos FortiGate, explotación de la vulnerabilidad CVE-2025-64446 en FortiWeb y uso de la CVE-2026-0257 contra gateways Palo Alto GlobalProtect vulnerables.
Entre los datos sustraídos, la campaña incluyó volcado de directorios LDAP. Muchos de los compromisos en equipos FortiGate ocurrieron entre febrero y junio de 2026, según el informe.
Más tarde, una parte de las víctimas apareció en páginas de filtraciones asociadas a los grupos de ransomware Qilin y The Gentlemen, aunque los investigadores aclararon que aún no se verificó una relación directa entre esas operaciones y la campaña k0t.
Cómo ocurrió
- Confirmado
- k0tCampaña atribuida al grupoConfirmado.
- FortiGateAbuso de contraseñasConfirmado.
- FortiWebCVE-2025-64446Confirmado.
- GlobalProtectCVE-2026-0257Confirmado.
- 70 mil credencialesVolcado LDAP incluidoConfirmado.
- BackdoorsNuevos puntos de entradaConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Group-IB y NyxLab identificaron y describieron la campaña atribuida a k0t.
- Los investigadores reportaron más de 70 mil credenciales de red expuestas.
- Se observó la instalación de backdoors en redes corporativas comprometidas.
- Los métodos incluyeron abuso de contraseñas en FortiGate, la CVE-2025-64446 en FortiWeb y la CVE-2026-0257 en GlobalProtect.
SIN VERIFICAR O ABIERTO
- No está verificada la relación directa entre la campaña k0t y las operaciones de ransomware Qilin y The Gentlemen que publicaron a algunas víctimas.
- No se precisó cuántas organizaciones resultaron afectadas ni en qué países operan.
- El dato de que el 37,6% de los dominios únicos observados provino de Asia-Pacífico puede reflejar solo la cantidad de dispositivos activos en la región y no una selección preferencial de objetivos.
Contexto
Los equipos FortiGate, FortiWeb y los gateways GlobalProtect funcionan como barreras de protección y acceso remoto de las redes corporativas, lo que los convierte en objetivos valiosos para quienes buscan vulnerar sistemas empresariales. El compromiso de un appliance de borde no suele ser un evento aislado: habilita reconocimiento interno, movimiento lateral y acceso a identidades y datos críticos.
En paralelo, una alerta del FBI y el Servicio Secreto de Estados Unidos del 6 de octubre de 2026 sostuvo que FortiBleed sigue representando un riesgo para firewalls FortiGate y gateways SSL VPN, con atacantes que reutilizan credenciales robadas, intentan descifrar hashes de contraseñas con GPUs y crean nuevas cuentas de administrador.
El informe Verizon 2026 Data Breach Investigations Report señaló la explotación de vulnerabilidades en el 31% de las violaciones, por delante del uso de credenciales robadas. Mandiant estimó en 22 segundos el tiempo medio entre la intrusión inicial y la transferencia del acceso a otro grupo criminal en 2025.
Qué hacer
- Revisar accesos expuestos Auditar firewalls FortiGate, FortiWeb y gateways GlobalProtect con exposición a internet y aplicar las actualizaciones disponibles para las vulnerabilidades mencionadas.
- Rotar credenciales Cambiar contraseñas de administración y de cuentas de servicio que puedan haberse visto comprometidas, y eliminar cuentas creadas sin autorización.
- Buscar puertas traseras Revisar configuraciones, reglas y cuentas nuevas en los equipos de borde para detectar accesos persistentes instalados por los atacantes.
- Vigilar directorios LDAP Controlar consultas y volcados masivos de directorios y limitar los permisos de las cuentas que acceden a ellos.
- Desconfiar de mensajes Estar atento a comunicaciones que usen incidentes de seguridad como gancho para pedir credenciales o datos.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
