Die Aktivität wird einem Bedrohungsakteur namens k0t zugeschrieben, der auch unter den Aliasnamen CryptoFeel, Member19 und QazWsxShop auftritt. Erstmals beobachtet wurde er am 22. Oktober 2025. Die Forscher gehen davon aus, dass er Verbindungen zu den Ransomware-Gruppen Qilin und The Gentlemen unterhält und wahrscheinlich als Initial Access Broker oder als Affiliate agiert. Grundlage dieser Einschätzung ist, dass viele Opfer der Kampagne später auf den Leak-Seiten dieser Gruppen auftauchten; die genaue Natur der Beziehung bleibt jedoch unklar. Die Auswertung seiner Darknet-Aktivitäten zeigt ein ausgeprägtes Interesse am Ankauf von Exploit-Code und Werkzeugen sowie von Premium-Konten für Metadaten-Suchmaschinen wie FOFA und ZoomEye.

Ein erheblicher Teil der Kompromittierungen soll zwischen Februar und Juni 2026 stattgefunden haben — ein Zeitraum, der sich mit einer weiteren Kampagne zum Abgreifen von Zugangsdaten unter dem Namen FortiBleed überschneidet. Group-IB und NyxLab fanden allerdings nur eine „vernachlässigbare Überschneidung" bei den kompromittierten Daten. „Das deckt sich mit Berichten, wonach vermutlich viele Akteure an dem FortiBleed-Aktivitätscluster beteiligt sind, was darauf hindeutet, dass es sich um einen separaten Datensatz, eine Teilgruppe von Operatoren oder eine verwandte Zugangsoperation innerhalb der breiteren FortiBleed-Aktivität handeln könnte", so die Forscher.

Die Opfer verteilen sich global und über ein breites Branchenspektrum, was der wahllosen Auswahl exponierter Netzwerkgeräte geschuldet ist. Rund 38 Prozent entfallen auf den asiatisch-pazifischen Raum, 31,9 Prozent auf Lateinamerika, 15,8 Prozent auf Europa und 12,7 Prozent auf den Nahen Osten und Nordafrika. „k0t wählt potenzielle Ziele offenbar aus, indem er exponierte Netzwerkgeräte in großem Maßstab erfasst, statt einzelne Organisationen zu recherchieren", erklärten die Forscher von Group-IB und NyxLab. „Seine erklärten geografischen Prioritäten beginnen bei den Vereinigten Staaten und Kanada, gefolgt von europäischen Ländern und ausgewählten APAC-Märkten." Produkt und Standort eines exponierten Geräts seien damit wichtiger als die Branche der betreibenden Organisation.

Die Angriffskette verläuft den Analysen zufolge in mehreren Schritten:

  • Aufklärung über öffentliche Scan-Dienste wie FOFA und ZoomEye, um aus dem Internet erreichbare VPN- und Firewall-Appliances zu erfassen, nach Produkt zu filtern und Ziellisten potenziell verwundbarer Edge-Geräte zusammenzustellen.
  • Ausnutzung bekannter Schwachstellen, namentlich CVE-2025-64446 (Path Traversal in FortiWeb) und CVE-2026-0257 (Authentifizierungsumgehung in Palo Alto Networks PAN-OS und Prisma Access), mittels eigens geschriebener Python-Skripte namens „fortnew.py" und „exploit_2026_0257.py"; alternativ Brute-Force-Angriffe mit gängigen Nutzername-Passwort-Kombinationen für den Erstzugang.
  • Aufbau eines Standbeins über eine OpenConnect-VPN-Verbindung.
  • Post-Exploitation und weiterer Diebstahl von Zugangsdaten, darunter die Erfassung von Active Directory, SMB und installierter Antivirenlösung.
  • Persistenz auf dem Host über legitime Fernwartungswerkzeuge wie MeshCentral Agent, Atera, Teramind und AnyDes sowie über das quelloffene Adversary-Emulation-Framework AdaptixC2.
  • Exfiltration der gesammelten Daten mit Rclone in Wasabi-S3-Buckets und MEGA-Cloud-Speicher.

Charakteristisch für die Angriffe ist zudem der Einsatz legitimer Administrations- und Pentesting-Werkzeuge, um tiefer in die Unternehmensnetze vorzudringen — darunter NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam und Mimikatz.

Organisationen wird geraten, die in der Untersuchung genannten Schwachstellen konsequent zu schließen.