Group-IB 与 NyxLab 于 10 月下旬联合发布调查报告，披露一个围绕边界网络设备展开的凭据窃取与后续入侵行动。调查把活动归到代号 k0t 的操作者（别名 CryptoFeel、Member19、QazWsxShop），该代号最早见于 2025 年 10 月 22 日。关联本次行动的暴露凭据超过 7 万条，含设备账号与 LDAP 导出数据。
打法：不研究公司，只筛选设备
k0t 不针对行业做功课，而是用 FOFA、ZoomEye、Censys 批量拉取暴露的 VPN 与防火墙，按型号过滤成目标清单。受害分布因此跟着暴露面走：亚太占 37.6%，拉美 31.9%，欧洲 15.8%，中东北非 12.7%。多数入侵集中在 2026 年 2 月至 6 月。
Fortinet 一侧
自研工具”FortiGate Security Scanner”（脚本 fortnew.py）先打 CVE-2025-64446——FortiWeb 中的相对路径遍历，未认证即可通过构造 HTTP/HTTPS 请求执行管理命令，成功后会创建一个不限可信主机来源的管理员账号。打不动就退回口令爆破，被锁后固定等 60 秒，正好对齐 FortiGate 默认锁定计时器。登录成功后工具下载配置，用 CVE-2019-6693 涉及的 FortiOS 默认 AES 密钥解密存储凭据，掏出 LDAP 绑定账号与管理员口令。
Palo Alto 一侧
另一套工具（exploit_2026_0257.py）利用 CVE-2026-0257，通过伪造认证覆盖 cookie 绕过 GlobalProtect 登录，前置条件是启用 authentication override 与证书复用。入口打通后用 OpenConnect 建立 VPN 连接——VPN 出口本来就该跑这类流量，混在正常使用里很难一眼看出。
后渗透与持久化
进入内网后是典型的人工操作：用 NetExec、Impacket、Kerbrute、PetitPotam、Mimikatz、noPac 做 AD、SMB 与杀软枚举并提权，用 MeshCentral Agent、Atera、Teramind、AnyDesk 与 AdaptixC2 做持久化，最后用 Rclone 把数据搬到 Wasabi S3 与 MEGA。IOC 包括 mesh[.]buttruyen[.]com（62[.]60[.]131[.]43）与 AdaptixC2 服务器 64.94.85.14、168.100.11.99；单个 MeshCentral 服务器上挂着 28 个活跃分组、84 台被控设备。
与勒索软件的关联
不少受害组织后来出现在 Qilin 与 The Gentlemen 的泄露站点上。研究者判断 k0t 更像初始访问代理或附属成员，但关系”尚未确认”。与 6 月披露的 FortiBleed 集群相比，本次数据集重叠度”可忽略”，更可能是独立收集或同一集群下的操作者子集。工具里另出现 BH、BeiDou 等开发者署名，被认为是向多个团伙供货的自由职业者。
处置建议
- 修复 CVE-2025-64446（FortiWeb）与 CVE-2026-0257（PAN-OS、Prisma Access）；仅打补丁不够，GlobalProtect 场景要在补丁后强制终止已有会话。
- 排查非预期的 OpenConnect VPN 会话，以及不在资产清单里的 MeshCentral、Atera、Teramind、AnyDesk 代理。
- 轮换设备本地账号与 LDAP 绑定凭据，凡从暴露边界设备可达的账号都按已泄露处理。
- 监控 Wasabi 与 MEGA 出向流量，Rclone 外传会留痕；同步排查计划外管理员账号。