Peneliti keamanan siber telah membeberkan rincian operasi berskala masif yang menyasar perangkat edge jaringan terbuka, termasuk firewall Fortinet FortiGate serta Palo Alto Networks GlobalProtect.
"Artefak dari penyelidikan ini juga menandakan bahwa operator kampanye tersebut telah mengantongi akses ke berbagai organisasi global, serta berupaya memperdalam kompromi pada beberapa korban hingga menciptakan akses jarak jauh persisten dan pencurian data," menurut laporan investigasi bersama Group-IB dan NyxLab.
Aktivitas eksploitasi besar-besaran ini dikaitkan dengan aktor ancaman berinisial k0t, yang menggunakan nama samaran CryptoFeel, Member19, dan QazWsxShop. Pelaku kriminal siber ini terdeteksi pertama kali aktif pada 22 Oktober 2025.
Pelaku ancaman dinilai memiliki relasi kuat dengan kelompok ransomware macam Qilin serta The Gentlemen, kemungkinan berperan sebagai broker akses awal atau afiliasi. Penelusuran jejak aktivitas dark web sang aktor memperlihatkan ketertarikan tinggi dalam membeli kode eksploitasi kerentanan, perkakas khusus, maupun akun premium mesin pencari metadata internet seperti FOFA dan ZoomEye.
Korban kampanye tersebar secara global dari beragam sektor industri akibat penargetan acak terhadap perangkat jaringan publik. Porsi signifikan insiden pembobolan diperkirakan berlangsung antara Februari hingga Juni 2026, periode yang beririsan dengan operasi pemanenan kredensial lainnya bernama sandi FortiBleed.
Hampir 38% korban terpusat di kawasan Asia Pasifik, disusul 31,9% di Amerika Latin, 15,8% di kawasan Eropa, serta 12,7% di Timur Tengah dan Afrika Utara.
Alur serangan berlangsung lewat tahapan berikut –
Serangan tersebut ditandai dengan pemanfaatan utilitas resmi administrator dan pentesting seperti NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam, dan Mimikatz guna menyusup lebih jauh ke dalam infrastruktur internal perusahaan korban.
"k0t tampaknya memilih sasaran potensial lewat pemindaian perangkat jaringan terbuka berskala masif ketimbang meneliti profil organisasi individual," ungkap peneliti Group-IB dan NyxLab. "Prioritas wilayah yang dinyatakannya bermula dari Amerika Serikat dan Kanada, disusul negara-negara Eropa serta pasar APAC tertentu."
"Oleh karena itu, jenis produk serta letak perangkat terbuka tampak lebih diutamakan ketimbang bidang industri pemiliknya, selaras dengan profil korban yang bervariasi dalam kampanye ini."
Keterkaitan k0t dengan Qilin dan The Gentlemen terlihat dari banyaknya korban kampanye yang belakangan dimuat pada situs kebocoran data milik komplotan ransomware tersebut. Kendati demikian, bentuk kerja sama pasti di antara aktor ancaman dan sindikat ini masih belum dipastikan secara pasti.
Selain itu, Group-IB dan NyxLab melaporkan bahwa mereka mendeteksi tumpang tindih data yang sangat kecil antara aktivitas ini dan FortiBleed. Lebih dari 70.000 kredensial bocor yang terhubung dengan perangkat jaringan dan hasil dump LDAP telah diidentifikasi terkait operasi siber tersebut.
"Temuan ini sejalan dengan dugaan bahwa banyak operator terlibat dalam klaster aktivitas FortiBleed, mengindikasikan bahwa ini mungkin kumpulan data mandiri, subset operator, atau operasi akses terkait dalam aktivitas luas turunan FortiBleed," jelas para peneliti. "Berbagai organisasi diimbau segera menindaklanjuti dan memastikan seluruh celah kerentanan dalam laporan ini ditambal dengan baik."
