Se ha detectado una campaña de ataques contra firewalls y sistemas VPN expuestos a Internet, específicamente dirigidos a dispositivos FortiGate y FortiWeb de Fortinet, así como a portales GlobalProtect de Palo Alto Networks. El objetivo de los atacantes es robar credenciales y obtener un acceso permanente a las redes corporativas, utilizando contraseñas almacenadas en las configuraciones de los dispositivos para desplazarse dentro de la red.

Los firewalls y sistemas VPN expuestos a Internet están siendo atacados en una campaña que tiene como objetivo robar credenciales y obtener acceso duradero a las redes corporativas.

La actividad se dirige a los dispositivos FortiGate y FortiWeb de Fortinet, así como a los portales GlobalProtect de Palo Alto Networks. Una vez dentro, los operadores pueden recopilar contraseñas almacenadas en las configuraciones de los dispositivos y utilizarlas para moverse más profundamente en la red de la víctima.

La campaña está vinculada a un operador conocido como k0t. Group-IB y NyxLab afirman que la actividad ha afectado a organizaciones de diferentes sectores y regiones.

Su investigación identificó más de 70.000 credenciales y datos relacionados expuestos, incluyendo credenciales de dispositivos de red y registros LDAP. Los investigadores advierten que este total no confirma que cada credencial listada haya conducido a un compromiso exitoso.

Analistas de Group-IB, trabajando con NyxLab, identificaron la campaña y describieron sus métodos en un informe publicado el 21 de octubre de 2026.

Afirmaron que los operadores buscan equipos de red expuestos de forma masiva y luego intentan entrar explotando fallos de software o adivinando contraseñas débiles. Sus hallazgos incluyen credenciales robadas, signos de acceso remoto persistente y casos de robo de datos.

Hackenado los sistemas FortiGate, FortiWeb y GlobalProtect de Palo Alto

Los operadores utilizan servicios de búsqueda públicos para encontrar portales VPN y firewalls orientados a Internet. Luego comprueban si los sistemas descubiertos tienen debilidades e intentan obtener acceso.

Group-IB dice que la actividad es amplia en lugar de centrarse en una sola industria. El número de dispositivos expuestos en línea y sus configuraciones pueden ayudar a explicar qué organizaciones aparecen en los datos recopilados.

Los dispositivos FortiWeb fueron atacados con la vulnerabilidad CVE-2025-64446, un fallo de salto de directorio (path traversal) que puede permitir que un atacante no autenticado ejecute comandos administrativos a través de solicitudes web manipuladas.

Group-IB observó una herramienta personalizada que intentaba usar el fallo para crear una nueva cuenta de administrador. Los dispositivos FortiGate no son vulnerables a este fallo de FortiWeb; en su lugar, los operadores probaron combinaciones comunes de nombres de usuario y contraseñas contra los sistemas FortiGate expuestos.

Fortinet describe la CVE-2025-64446 como un problema de control de acceso inadecuado que afecta a FortiWeb. La actividad de FortiGate puede tener efectos más allá del propio firewall. Después de obtener acceso, los operadores pueden descargar un archivo de configuración del dispositivo y recuperar las credenciales almacenadas en él, incluidos los detalles de la cuenta de administrador y de LDAP o Active Directory.

Group-IB indica que los atacantes utilizaron una clave de cifrado predeterminada conocida para descifrar algunos secretos almacenados. Por lo tanto, tú y tu organización deberíais tratar una configuración potencialmente expuesta como una posible filtración de contraseñas, y no solo como un problema de gestión del dispositivo.

La campaña también se dirige a los sistemas GlobalProtect de Palo Alto Networks. Group-IB observó intentos de explotar la CVE-2026-0257, un fallo de omisión de autenticación (authentication bypass) en los portales y puertas de enlace de GlobalProtect bajo configuraciones específicas de PAN-OS.

El fallo puede permitir una conexión VPN no autorizada. El aviso de Palo Alto Networks describe el mismo riesgo y aconseja a los administradores seguir su guía de remediación.

Se ha informado previamente sobre la explotación de fallos en FortiWeb y el lanzamiento de herramientas de explotación para el mismo. Estos informes proporcionan el contexto sobre la debilidad de FortiWeb; la investigación actual añade pruebas de que los operadores lo utilizan como parte de una campaña más amplia contra dispositivos en el borde de la red.

Qué ocurre después del acceso

Tras entrar en una red, los operadores pueden utilizar herramientas legítimas de administración y seguridad para descubrir sistemas, buscar credenciales adicionales y ampliar el acceso.

Group-IB observó herramientas como NetExec, Impacket y Mimikatz, junto con software de gestión remota como MeshCentral y Atera. Su uso puede ser difícil de detectar cuando los defensores revisan solo un evento a la vez, ya que las herramientas legítimas también pueden aparecer en el trabajo normal de IT.

Durante su revisión, los investigadores encontraron 28 grupos de dispositivos activos con 84 dispositivos comprometidos vinculados a un servidor MeshCentral. También vieron signos de otras herramientas de acceso remoto y un marco de comando y control (C2).

En algunos casos, los datos fueron copiados a almacenamiento en la nube utilizando Rclone. Group-IB afirmó que algunas víctimas aparecieron posteriormente en sitios de filtraciones de ransomware, aunque no ha confirmado que k0t esté directamente afiliado a los grupos de ransomware implicados.

Puedes leer más sobre el robo de configuraciones de FortiGate y la actividad de omisión de autenticación de GlobalProtect en coberturas anteriores.

Estos informes relacionados describen riesgos que son cruciales después de que un dispositivo de borde se ve comprometido: las credenciales robadas pueden permitir un acceso posterior, incluso si el punto de entrada inicial se parchea más tarde.

Los equipos de seguridad deberían comprobar si los sistemas FortiGate, FortiWeb y GlobalProtect están expuestos a Internet, confirmar que ejecutan software corregido y restringir el acceso administrativo a redes confiables siempre que sea posible.

Deberías revisar los registros en busca de cuentas de administrador inesperadas, exportaciones de configuración, sesiones VPN inusuales, fallos de inicio de sesión repetidos y acceso de gestión desde ubicaciones desconocidas.

El aviso de Palo Alto Networks proporciona instrucciones de remediación para la CVE-2026-0257; el aviso de Fortinet cubre la CVE-2025-64446.

Si sospechas que un dispositivo ha sido accedido, tu equipo debería investigar las cuentas y sistemas conectados, rotar las credenciales almacenadas en o vinculadas al dispositivo, y revisar los registros de VPN e identidad en busca de actividad sospechosa posterior.

Los administradores de FortiGate también deberían comprobar si el cifrado de datos privados está habilitado con una clave controlada por la organización. La falta de indicadores coincidentes no prueba que un dispositivo o red sea seguro; los defensores deben correlacionar los registros del dispositivo, la VPN, la identidad y los endpoints.

Fuentes:
https://cybersecuritynews.com/breaking-into-fortigate-fortiweb/