WORLDTECHHacker breachen Unternehmens-Firewalls und VPNs und erbeuten über 70.000 Zugangsdaten
Was passiert ist
Cybersecurity researchers have disclosed details of a large-scale campaign that has targeted exposed network edge devices such as Fortinet FortiGate and Palo Alto Networks GlobalProtect firewalls (a barrier that decides which network traffic may pass). Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials Ravie Lakshmanan Oct 23, 2026 Vulnerability / Cyber Attack Cybersecurity researchers have disclosed details of a large-scale campaign that has targeted exposed network edge devices such as Fortinet FortiGate and Palo Alto Networks GlobalProtect firewalls.
"Artefakte aus dieser Untersuchung deuten zudem darauf hin, dass die Betreiber dieser Kampagne Zugang zu zahlreichen Organisationen weltweit erlangt haben und versucht haben, einige Opfer weitergehend zu kompromittieren, was zu dauerhaftem Fernzugriff und Datenabfluss führte", heißt es in einer gemeinsamen Untersuchung von Group-IB und NyxLab. Die Analyse der Aktivitäten des Bedrohungsakteurs im Dark Web zeigt ein ausgeprägtes Interesse am Kauf von Exploit-Code und Werkzeugen für Schwachstellen oder Premium-Konten für Metadaten-Suchmaschinen wie FOFA und ZoomEye.
Der Versuch, diese Geräte über bekannte Schwachstellen wie CVE-2025-64446 (ein Path-Traversal-Fehler in FortiWeb) und CVE-2026-0257 (ein Authentifizierungs-Umgehungsfehler in Palo Alto Networks PAN-OS und Prisma Access) auszunutzen, erfolgt über maßgeschneiderte Python-Skripte namens "fortnew.py" und "exploit_2026_0257.py" oder über Brute-Force-Angriffe mit gängigen Kombinationen aus Benutzernamen und Passwörtern, um einen ersten Zugang zu erlangen. Die weit verbreiteten Ausnutzungsaktivitäten werden einem Bedrohungsakteur namens k0t zugeschrieben, der auch unter den Aliasnamen CryptoFeel, Member19 und QazWsxShop auftritt.
Der Cyberkriminelle wurde erstmals am 22. Oktober 2025 in freier Wildbahn beobachtet. Es wird angenommen, dass der Bedrohungsakteur Verbindungen zu Ransomware-Gruppen wie Qilin und The Gentlemen unterhält und vermutlich als Initial Access Broker oder Affiliate agiert.