7 萬組企業登入憑證遭竊：駭客 k0t 專挑防火牆下手，Group-IB 揭跨國竊密行動

Group-IB 與 NyxLab 聯合報告指出，代號 k0t 的攻擊者掃描全球外露的 VPN 與防火牆設備，竊取逾 7 萬組企業憑證，疑為勒索軟體充當開路先鋒。

資安公司 Group-IB 與 NyxLab 10 月 21 日發布聯合調查，揭露代號「k0t」的威脅行動者發動的大規模憑證竊取行動：專挑對外暴露的企業 VPN 與防火牆設備下手，得手超過 7 萬組登入憑證。研究單位提醒，這個數字不代表每組憑證都有效，也不等於名單上的企業都被成功入侵。

撒網式掃描：設備型號比產業更重要

k0t 不鎖定特定產業，而是用 FOFA、ZoomEye 等公開掃描引擎地毯式列舉外露設備，目標鎖定 Fortinet FortiGate、FortiWeb 與 Palo Alto GlobalProtect 等網路防護產品。得手手法包括利用已知漏洞——例如 FortiWeb 的路徑穿越漏洞 CVE-2025-64446、PAN-OS 的身分驗證繞過漏洞 CVE-2026-0257（搭配客製化攻擊腳本），或直接以常見帳密組合硬碰硬。

一條龍：從 VPN 摸進內網再打包上傳

攻陷設備後，k0t 經 OpenConnect VPN 潛入企業內網，植入 MeshCentral、Atera、Teramind 等合法遠端管理工具長期駐留，再搬出 NetExec、Impacket、Mimikatz 等工具橫向移動、列舉 Active Directory、搜刮密碼與快取檔案，最後用 Rclone 把戰利品傳到 Wasabi S3、MEGA 等雲端空間。暗網情資還顯示，k0t 對購買漏洞利用程式與掃描引擎付費帳號興致勃勃。

受害遍五大洲，疑為勒索集團「開路先鋒”

受害者橫跨多個產業：亞太約 38%、拉丁美洲 31.9%、歐洲 15.8%、中東北非 12.7%，入侵高峰落在今年 2 到 6 月。耐人尋味的是，不少受害者事後出現在 Qilin、The Gentlemen 等勒索軟體組織的外洩網站上，研究人員研判 k0t 可能扮演「初始存取仲介」——先撬開門，再把門路交給勒索集團，不過這層關聯尚未坐實。

k0t 最早於 2025 年 10 月現身，別名還包括 CryptoFeel、Member19、QazWsxShop。當防火牆本身變成破口，企業盤點對外暴露面的急迫性又添一筆。這也是看店勢把權限與資料安全放在產品設計核心的原因。

資料來源

• The Hacker News（引 Group-IB／NyxLab 聯合報告），2026-10-23
• hacks.gr，2026-10-23