Cibercriminosos invadem firewalls e VPNs corporativos e expõem mais de 70 mil credenciais
Uma campanha de ciberataques contra firewalls e portais de VPN acessíveis pela internet expôs mais de 70 mil credenciais. O levantamento da Group-IB, elaborado em conjunto com a NyxLab e divulgado em 21 de outubro, atribui as operações a um agente identificado como k0t.
O conjunto de dados inclui informações de acesso a equipamentos de rede e credenciais obtidas em diretórios LDAP. A quantidade, porém, não significa que todos os registros correspondam a invasões confirmadas. Os pesquisadores identificaram 84 dispositivos comprometidos em 28 grupos ativos de um servidor MeshCentral, mas não determinaram o número total de organizações atingidas. Os domínios únicos encontrados servem apenas como uma estimativa mínima.
A entrada nas redes ocorreu por diferentes caminhos. Em dispositivos FortiWeb, os invasores exploraram a vulnerabilidade CVE-2025-64446, relacionada à travessia de diretórios, para criar contas administrativas. Já no portal GlobalProtect, da Palo Alto Networks, a falha CVE-2026-0257 teria permitido contornar a autenticação por meio da falsificação de cookies.
Os equipamentos FortiGate não são afetados pela vulnerabilidade do FortiWeb. Nesse caso, o acesso foi obtido com tentativas automatizadas de senhas comuns, uma técnica conhecida como força bruta. Depois de entrar no dispositivo, os operadores baixavam arquivos de configuração e recuperavam segredos armazenados com a chave padrão de criptografia do FortiOS, associada à CVE-2019-6693.
Para ampliar os privilégios dentro das redes e alcançar contas de administrador de domínio, os criminosos recorreram ao método conhecido como noPac. A técnica pode facilitar o avanço de um invasor em ambientes corporativos que utilizam serviços de diretório, tornando a proteção das credenciais privilegiadas especialmente importante.
A campanha combinou ferramentas maliciosas com programas legítimos de administração remota. Entre os recursos empregados estavam MeshCentral, AdaptixC2, Atera, AnyDesk e ngrok. Como essas ferramentas também podem ser usadas por equipes de suporte e tecnologia, sua presença, isoladamente, não prova uma invasão. Ainda assim, o uso sem autorização ou fora do padrão habitual pode indicar atividade suspeita.
Para retirar dados das redes comprometidas, os operadores usaram o Rclone, ferramenta que permite transferir arquivos para serviços de armazenamento em nuvem. A presença desse tipo de utilitário em um servidor corporativo deve ser investigada, sobretudo quando há movimentação incomum de grandes volumes de informação.
A região da Ásia-Pacífico concentra 37,6% dos domínios únicos identificados no conjunto analisado. A América Latina também aparece com participação expressiva, embora o relatório não informe um percentual. Os pesquisadores alertam que essa distribuição pode refletir a quantidade de equipamentos expostos em cada região, e não necessariamente uma preferência dos criminosos por determinados países.
Boa parte dos comprometimentos associados a dispositivos FortiGate foi registrada entre fevereiro e junho de 2026. Algumas vítimas também apareceram em páginas de vazamento ligadas aos grupos Qilin e The Gentlemen. A investigação, no entanto, não confirmou uma relação direta entre esses grupos e a campanha. Uma hipótese é que os operadores atuem como corretores de acesso inicial, vendendo ou repassando entradas obtidas em redes de empresas.
O relatório também considera possível uma ligação com o conjunto de atividades chamado FortiBleed, mas classifica essa associação com confiança moderada. Isso significa que existem indícios compatíveis, mas não evidências suficientes para tratar a conexão como comprovada.
Para reduzir o risco, empresas devem manter firewalls e portais de VPN atualizados e verificar se as correções correspondentes às vulnerabilidades citadas foram aplicadas. Equipamentos expostos à internet precisam ser inventariados regularmente, com serviços desnecessários desativados e acesso administrativo limitado a endereços confiáveis.
Também é importante substituir senhas padrão ou reutilizadas por credenciais fortes e exclusivas, além de habilitar autenticação multifator sempre que disponível. Contas administrativas devem ser revisadas com frequência, e acessos antigos ou sem justificativa precisam ser removidos. A configuração dos dispositivos de rede merece atenção especial, pois pode conter informações sensíveis capazes de facilitar ataques posteriores.
Por fim, equipes de segurança devem monitorar conexões remotas inesperadas, contas recém-criadas, transferências incomuns para serviços em nuvem e ferramentas de administração fora do padrão da organização. A combinação de atualizações, controle de acesso e monitoramento ajuda a reduzir tanto a chance de invasão quanto o tempo necessário para identificar uma atividade maliciosa.