Um ator de ameaças conhecido como k0t vasculha a internet atrás de firewalls e VPNs expostos, invade os que encontra e coleta credenciais em escala. Os pesquisadores do Group-IB e da NyxLab contaram mais de 70 mil logins roubados, e 31,9% das vítimas estão na América Latina.
Quem é k0t e onde ele ataca
O grupo, que também aparece como CryptoFeel e Member19, foi visto pela primeira vez em 22 de outubro de 2025. Segundo o The Hacker News, os pesquisadores acreditam que ele tenha ligação com os grupos de ransomware Qilin e The Gentlemen, talvez como corretor de acesso inicial ou afiliado.
Por região, as vítimas se dividem assim: Ásia-Pacífico, cerca de 38%; América Latina, 31,9%; Europa, 15,8%; Oriente Médio e Norte da África, 12,7%. Muitos ataques aconteceram entre fevereiro e junho de 2026. A frase dos pesquisadores explica a escolha dos alvos: o produto e o local do aparelho exposto parecem importar mais do que o setor da vítima.
A porta de entrada
A rotina começa com buscadores como FOFA e ZoomEye, que listam aparelhos ligados à internet. Os alvos principais são firewalls Fortinet FortiGate e Palo Alto Networks GlobalProtect. Para entrar, o grupo explora falhas conhecidas, como a CVE-2025-64446, no FortiWeb, e a CVE-2026-0257, no PAN-OS e no Prisma Access, e também tenta combinações comuns de usuário e senha.
Dentro da rede, o invasor mapeia o Active Directory, procura mais credenciais e instala ferramentas de acesso remoto legítimas, como MeshCentral e Atera, para continuar entrando. Os dados saem por meio do Rclone para serviços de nuvem como Wasabi e MEGA.
O que isso muda para quem não é empresa
A reportagem trata de redes corporativas e não fala de contas de usuários comuns. Mas a lição chega a qualquer pessoa que administre um escritório pequeno, um consultório ou uma loja: o roteador, o firewall e a VPN ligados à internet são a vitrine do negócio, e as senhas fracas e os programas sem atualização são o que o ataque automatizado procura.
Como se proteger
- Atualize firewall, VPN e roteador assim que o fabricante lançar correção, especialmente os da Fortinet e da Palo Alto citados no relatório.
- Troque senhas padrão e fracas de qualquer equipamento ligado à internet, e use senhas diferentes em cada um.
- Ative a verificação em duas etapas no acesso por VPN.
- Não deixe painéis de administração abertos para a internet inteira. Limite o acesso por endereço ou use a VPN.
- Desconfie de ferramentas de acesso remoto que você não instalou. Se encontrar uma, investigue antes de apagar.
