Selamlar,
Group-IB ve NyxLab, internete açık ağ kenarı (edge) cihazlarını hedefleyen geniş çaplı bir kampanyayı ortaya koydu. k0t (diğer adlarıyla CryptoFeel, Scrooge) adlı tehdit aktörü, FortiGate ve FortiWeb güvenlik duvarları ile Palo Alto GlobalProtect portallarını kırıp kalıcı erişim satan bir ilk erişim simsarı (IAB) gibi davranıyor. Araştırmacılar 70.000'den fazla sızan kimlik bilgisi topladı. Burada aktörün yöntemlerini ve kendi edge cihazınızı nasıl sertleştireceğinizi anlatıyorum.
Konuda anlatılacaklar
- k0t kim, ne yapıyor?
- Keşif: FOFA ve ZoomEye ile toplu tarama
- FortiWeb ve FortiGate'e giriş yöntemleri
- GlobalProtect çerez sahteciliği (CVE-2026-0257)
- Kalıcılık ve yanal hareket araçları
- Edge cihaz sertleştirme kontrol listesi
1. k0t kim?
Group-IB'ye göre k0t, hedefe özel araştırma yapmadan, halka açık tarama araçlarıyla internete dönük VPN ve güvenlik duvarı cihazlarını toplu tarayan bir operasyon. Başarılı girişlerden sonra cihazda ek kimlik bilgisi topluyor ve hedeflere OpenConnect VPN ile bağlanıyor. Mağdur örtüsü Qilin ve The Gentlemen gibi fidye gruplarıyla görülüyor; ancak bu bağlantı rapora göre doğrulanmış değil.
2. Keşif
Operatörler FOFA ve ZoomEye gibi saldırı yüzeyi arama motorlarıyla internete açık cihazları ürüne ve maruziyete göre filtreleyip büyük hedef listeleri oluşturuyor. Ders açık: cihazınız Shodan/FOFA'da görünüyorsa zaten listede olabilirsiniz.
3. FortiWeb ve FortiGate
Group-IB'nin aktardığı fort.py / fortnew.py adlı özel betik her hedefte önce CVE-2025-64446'yı deniyor. Bu, FortiWeb'de kimlik doğrulamasız yönetim komutu çalıştırmaya izin veren bir path traversal açığı. Araç, yerleşik "prof_admin" hesabını taklit eden sahte bir CGIINFO başlığıyla şu uç noktaya istek atıyor:
Kod:
POST /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgiBu başarısız olursa betik, FortiGate REST API'sine karşı ortak kullanıcı/parola listeleriyle kaba kuvvete geçiyor. Başarılı girişten sonra --parse-configs bayrağı, yapılandırmayı indirip CVE-2019-6693 olarak izlenen varsayılan FortiOS AES anahtarıyla saklı sırları (LDAP, AD, yönetici, yerel kullanıcı) çözüyor.
Not: CVE-2025-64446 ve CVE-2019-6693, CISA KEV kataloğunda yer alan, aktif sömürülen açıklar. Yani bunlar teorik değil.
4. GlobalProtect (CVE-2026-0257)
Palo Alto tarafında "BeiDou" imzalı bir araç, hedefin TLS sertifikasındaki açık anahtarla bir kimlik doğrulama atlatma çerezi üreterek boş parolayla /ssl-vpn/login.esp'ye gönderiyor. CVE-2026-0257 CISA KEV'de fidye kullanımı etiketiyle listeli ve EPSS puanı yaklaşık %97 ile çok yüksek; yani sömürülme olasılığı son derece yüksek bir açık.
5. Kalıcılık ve yanal hareket
Group-IB'nin gözlemlediği araç seti: OpenConnect VPN, MeshCentral ve Atera (RMM), AdaptixC2, NetExec, Impacket, Mimikatz; bazı vakalarda Rclone ile bulut depolamaya veri kopyalama. Araştırmacılar bir MeshCentral sunucusuna raporlayan onlarca ele geçirilmiş cihaz buldu.
6. Edge cihaz sertleştirme kontrol listesi
- İnternete açık yönetim arayüzlerini kapatın. Yönetim sadece iç ağ veya VPN üzerinden erişilebilir olsun.
- Tüm FortiGate/FortiWeb/PAN-OS cihazlarını güncel tutun. CVE-2025-64446, CVE-2026-0257 ve CVE-2019-6693 için yamaları uygulayın.
- Varsayılan ve zayıf parolaları değiştirin. Kaba kuvvet listeleri tam da bunları hedefliyor.
- Cihaz yapılandırmasındaki saklı sırları döndürün. Varsayılan şifreleme anahtarı ifşası, config bir kez sızınca tüm sırları açar.
- trusted-host 0.0.0.0/0 olan yönetici hesaplarını avlayın. Beklenmeyen yeni admin hesapları bir ihlal göstergesidir.
- Giden RMM/OpenConnect trafiğini izleyin. MeshCentral, Atera, AdaptixC2 beklenmiyorsa alarm üretin.
Sonuç
k0t kampanyası, "edge cihaz = iç ağın ön kapısı" gerçeğini bir kez daha gösteriyor. İnternete dönük tek bir yamasız güvenlik duvarı, tüm kurumsal kimlik deposuna açılan kapı olabiliyor. Siz edge cihazlarınızın maruziyetini en son ne zaman Shodan/FOFA gözüyle kontrol ettiniz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar