k0t vulnera FortiGate y GlobalProtect y expone 70.000 credenciales

k0t, la campaña que convirtió firewalls y VPN en puertas de entrada

Group-IB y NyxLab publicaron el 21 de octubre de 2026 una investigación conjunta sobre k0t, un actor que explota y fuerza credenciales en dispositivos de borde de red: Fortinet FortiGate, Fortinet FortiWeb y Palo Alto Networks GlobalProtect. La cifra que más llama la atención: más de 70.000 credenciales y registros (dispositivos de red, volcados LDAP y otros artefactos operativos) vinculados a la campaña.

La noticia se está replicando en la prensa especializada entre el 22 y el 24 de octubre. Para equipos de seguridad en Latinoamérica es especialmente relevante: cerca del 31,9% de las víctimas identificadas está en la región.

Cómo operaba k0t

Reconocimiento masivo: arma listas de objetivos con FOFA, ZoomEye y Censys, filtrando por producto. No elige industrias; elige equipos expuestos.
FortiGate: fuerza bruta de contraseñas contra la API REST, con lógica para pausar 60 segundos cuando una cuenta se bloquea. Si entra, puede descargar la configuración y descifrar secretos almacenados, incluidas credenciales de enlace LDAP.
FortiWeb: intento de explotación de CVE-2025-64446 (path traversal que permite ejecución administrativa sin autenticación) para crear una cuenta de administrador.
GlobalProtect: explotación de CVE-2026-0257 mediante falsificación de cookies de anulación de autenticación, en configuraciones específicas, y conexión posterior con OpenConnect.

Qué hacían una vez dentro

Los operadores usaron herramientas legítimas o de pentesting: NetExec, Impacket, Kerbrute, Mimikatz, noPac y PetitPotam, además de SoftPerfect. Buscaban hashes de cuentas de servicio Kerberos y privilegios de administrador de dominio.

Para mantener el acceso desplegaron agentes MeshCentral (84 equipos comprometidos en 28 grupos activos al momento del análisis), AdaptixC2 como canal adicional de mando y control, y Rclone para exfiltrar datos.

Qué se sabe y qué no

Gran parte de los compromisos en FortiGate ocurrió entre febrero y junio de 2026.
Hay coincidencia de víctimas con los grupos de ransomware Qilin y The Gentlemen, lo que sugiere un posible rol de intermediario de acceso inicial. La relación no está confirmada.
Los investigadores indican un solapamiento insignificante con los datos de FortiBleed, aunque no descartan conexión con ese clúster. Son campañas que conviene no mezclar.
Distribución de víctimas: ~38% Asia-Pacífico, 31,9% América Latina, 15,8% Europa y 12,7% Oriente Medio y África. Los propios analistas advierten que puede reflejar exposición de equipos, no un foco deliberado.
Group-IB anunció un informe técnico más detallado en una fecha posterior.

Qué hacer hoy

Parchear: aplicar las correcciones de Fortinet (CVE-2025-64446) y Palo Alto (CVE-2026-0257).
Auditar administradores: buscar cuentas nuevas o inesperadas con trusted hosts sin restricción en FortiGate y FortiWeb.
Revisar sesiones VPN no autorizadas. En GlobalProtect, terminar las sesiones activas tras parchear, porque el acceso puede sobrevivir a la corrección.
Rotar credenciales: cuentas de enlace LDAP, cuentas de servicio y administradores de dominio potencialmente expuestos.
Cazar persistencia: agentes MeshCentral, AdaptixC2 y uso anómalo de Rclone o remotos de administración.
Reducir exposición: no publicar interfaces de administración a Internet, exigir MFA y limitar los intentos de inicio de sesión en la API.

Lectura para equipos de seguridad

La lección es incómoda: un firewall o VPN comprometido no se arregla solo con un parche. Si hubo acceso previo, las credenciales ya salieron y el atacante puede seguir dentro. Tratar el caso como gestión de vulnerabilidades más respuesta a incidentes es la única lectura prudente.