防火牆與 VPN 不是牆：70,000 組憑證從「門神」手上被拿走

發生了什麼

2026 年 10 月 23 日，Group-IB 與 NyxLab 發布聯合調查報告，揭露一場大規模攻擊行動：威脅行為者 k0t（別名 CryptoFeel、Member19、QazWsxShop）鎖定暴露在網際網路上的企業防火牆與 VPN 設備，利用已知漏洞或暴力破解取得初始存取，再建立持久後門、竊取 Active Directory 與 LDAP 憑證、外洩資料到雲端儲存。

這次行動波及全球 62 個組織，超過 70,000 組憑證與 LDAP dump 被竊。主要攻擊期在 2026 年 2 月至 6 月，與另一場名為 FortiBleed 的憑證竊取行動時間重疊，但研究人員確認兩者資料集「重疊極少」，推測是不同的行動或操作者子集。

k0t 首次在野外出現是 2025 年 10 月 22 日。研究人員從他在暗網的活動發現，他對購買漏洞利用程式碼、工具，以及 FOFA 與 ZoomEye 等中繼資料搜尋引擎的付費帳號有濃厚興趣。他與 Qilin 與 The Gentlemen 勒索軟體集團有關聯，可能作為初始存取經紀人（IAB）或關聯方：許多受害者後來出現在這些勒索軟體集團的資料外洩站點。

攻擊者怎麼做到

k0t 的選擇目標方式不是研究特定組織，而是大規模列舉暴露在外的網路設備。他聲明的地理優先順序是美國與加拿大、歐洲國家，以及部分亞太市場。「暴露設備的產品與位置比經營該設備的組織行業更重要」，這解釋了為何受害者橫跨多個產業。

攻擊鏈分為六個階段：

2025-10-22
k0t 首次在野外出現
Group-IB & NyxLab 調查
2026-02 至 2026-06
主要攻擊期，大規模利用暴露的防火牆與 VPN 設備
調查報告時間軸
攻擊後
多名受害者出現在 Qilin 與 The Gentlemen 勒索軟體資料外洩站點
研究人員觀察

第一階段：偵察

k0t 使用公開掃描工具 FOFA 與 ZoomEye 列舉對外的 VPN 與防火牆設備，依產品篩選，組成可能有漏洞的邊緣設備清單。

第二階段：初始存取

他用客製 Python 腳本（fortnew.py 與 exploit_2026_0257.py）嘗試利用已知漏洞：

CVE-2025-64446：FortiWeb 路徑穿越漏洞
CVE-2026-0257：Palo Alto Networks PAN-OS 與 Prisma Access 認證繞過漏洞

或者對常見使用者名稱與密碼組合進行暴力破解。

第三階段：立足點

取得初始存取後，k0t 透過 OpenConnect VPN 連線建立立足點。

第四階段：後滲透與憑證竊取

他列舉 Active Directory、SMB 與已安裝的防毒軟體，竊取更多憑證。

第五階段：持久化

k0t 使用合法的遠端存取工具建立持久化：

MeshCentral Agent
Atera
Teramind
AnyDes
AdaptixC2（開源對抗模擬框架）

同時使用合法的管理員與滲透測試工具深入受害者環境：NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatz。

第六階段：資料外洩

竊取的資料使用 Rclone 外洩到 Wasabi S3 儲存桶與 MEGA 雲端硬碟。

這次外洩了什麼

超過 70,000 組與網路設備及 LDAP dump 相關的憑證被竊。

leaked credentials這次外洩了什麼：服務、用途、存在形式

服務	憑證類型	用途	存在形式	放在哪	權限範圍	狀態
企業防火牆與 VPN 設備（Fortinet FortiGate、Palo Alto GlobalProtect）	管理員憑證	設備管理與 VPN 存取	`使用者名稱與密碼、VPN 連線憑證`	從暴露的管理介面或透過漏洞利用竊取	完全存取受害組織的網路邊界設備	已被竊取，數量超過 70,000 組
Active Directory 與 LDAP	網域憑證與 LDAP dump	企業內部身分驗證與授權	`使用者名稱、密碼雜湊、LDAP 完整匯出`	從已入侵的網路內部列舉與竊取	存取企業內部系統、伺服器、應用程式	已被竊取，部分用於進一步攻擊
企業檔案伺服器與 SMB	檔案存取憑證	存取共享檔案與敏感文件	`NTLM 雜湊、憑證`	從 Active Directory 與網路列舉竊取	存取財務、HR、法務與高階主管檔案	已被竊取並外洩到雲端儲存

憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

研究人員強調，這些憑證與 FortiBleed 行動的資料集「重疊極少」，顯示這可能是獨立的資料集、操作者子集，或更廣泛的 FortiBleed 相關活動中的關聯存取行動。

你可以學到什麼

站在攻擊者的角度：防火牆與 VPN 不是拿來擋他的，是拿來開門的。他不需要研究你的公司，只需要掃描全球暴露的設備、試已知漏洞或常見密碼，拿到第一個立足點後，合法的遠端管理工具就是他的持久後門。

lessons本案的 7 個教訓

01
暴露在外的網路邊緣設備（防火牆、VPN、遠端管理工具）是攻擊者批次掃描的目標；產品與位置比你的行業重要。
02
已知漏洞的利用腳本會在 CVE 公開後迅速出現；未修補的設備在公開掃描工具的列表上等於寫著「歡迎光臨」。
03
暴力破解仍然有效，尤其是對沒有速率限制、沒有 MFA 的管理介面；常見使用者名稱與密碼組合就是攻擊者的字典。
04
合法的遠端存取工具（MeshCentral、Atera、Teramind）與滲透測試工具（Impacket、Mimikatz）在攻擊者手中就是持久化與橫向移動的工具；防毒軟體不會擋合法工具。
05
憑證重複使用是最大的力量倍增器；一組重複的密碼可以解鎖 VPN、伺服器、遠端管理、備份與安全管理平台。
06
初始存取經紀人（IAB）的商業模式是批次入侵、竊取憑證與資料、建立持久後門，再將存取權賣給勒索軟體集團；受害者可能在入侵數月後才看到勒索訊息。
07
雲端儲存（Wasabi S3、MEGA）是攻擊者外洩資料的熱門選擇；檢查你的網路是否有非預期的 Rclone 連線與大量上傳流量。

keywords重點學習：最需要學習的 10 個關鍵字10 個

01
網路邊緣設備（Network Edge Device）
防火牆、VPN、遠端管理工具等暴露在網際網路上的設備，是攻擊者批次掃描與入侵的首要目標。
02
初始存取經紀人（IAB, Initial Access Broker）
專門入侵目標並建立持久後門，再將存取權賣給勒索軟體集團或其他攻擊者的商業模式。
03
CVE-2025-64446
FortiWeb 路徑穿越漏洞，攻擊者用客製腳本 fortnew.py 利用。
04
CVE-2026-0257
Palo Alto Networks PAN-OS 與 Prisma Access 認證繞過漏洞，攻擊者用 exploit_2026_0257.py 利用。
05
FOFA 與 ZoomEye
公開的中繼資料搜尋引擎，攻擊者用付費帳號批次列舉暴露在外的網路設備。
06
OpenConnect VPN
攻擊者取得初始存取後，用 VPN 連線建立立足點，看起來像合法的遠端存取。
07
MeshCentral / Atera / Teramind
合法的遠端存取與監控工具，攻擊者用來建立持久後門；防毒軟體不會擋合法工具。
08
AdaptixC2
開源對抗模擬框架，攻擊者用來控制受害者環境並執行命令。
09
Rclone
雲端儲存同步工具，攻擊者用來外洩資料到 Wasabi S3 與 MEGA；檢查網路是否有非預期的 Rclone 連線。
10
FortiBleed
另一場憑證竊取行動，時間與 k0t 行動重疊，但資料集重疊極少，推測為不同操作者。

下面的步驟全部唯讀，做完你會知道你對外暴露的管理介面有哪些、是否已修補、是否有非預期的登入。

try today今天就可以來試試約 20 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

列出你對外暴露的管理介面與遠端存取服務
```
nmap -p 443,4443,8443,10443 --open <你的公開 IP 範圍>
或檢查防火牆規則允許從 0.0.0.0/0 存取的連接埠
```
看到什麼代表什麼：任何從網際網路可達的管理介面（防火牆、VPN、路由器、IPMI、遠端桌面）都是潛在入口。
確認 Fortinet 與 Palo Alto 設備的版本是否已修補 CVE-2025-64446 與 CVE-2026-0257
```
FortiGate: get system status
Palo Alto: show system info | match sw-version
```
看到什麼代表什麼：CVE-2025-64446 影響特定版本的 FortiWeb；CVE-2026-0257 影響特定版本的 PAN-OS。檢查廠商安全公告確認你的版本是否需要修補。
檢查防火牆與 VPN 的管理介面是否限制存取來源 IP
看到什麼代表什麼：管理介面應該只接受來自特定 IP 範圍（例如辦公室或跳板機）的連線，不應該對全世界開放。
確認 VPN 與管理介面是否啟用多因素認證（MFA）
看到什麼代表什麼：沒有 MFA 的管理介面可以被暴力破解；即使密碼強度足夠，MFA 也能防止憑證被竊後直接登入。
檢視最近 30 天的 VPN 連線與管理員登入日誌，尋找非預期的來源 IP 或登入時間
```
FortiGate: execute log filter category 0
            execute log display
Palo Alto: show log system direction equal backward | match admin
```
看到什麼代表什麼：非上班時間的登入、來自非預期國家的 IP、短時間內多次失敗後成功的登入，都是可疑跡象。
搜尋網路流量中是否有 Rclone 連線到 Wasabi 或 MEGA
看到什麼代表什麼：Rclone 的 User-Agent 通常包含 'rclone'；大量上傳到雲端儲存且來源不明的流量可能是資料外洩。

這張清單是你的網路邊界風險清冊。每個暴露的管理介面、每個未修補的漏洞、每個沒有 MFA 的 VPN，都是攻擊者掃描清單上的一個目標。

這篇提到的項目要花多少錢

攻擊者的成本極低；防守方的成本在修補與監控。

cost防火牆與 VPN 攻擊的成本

項目	用量	單價	期間	US$	NT$	舉證
FOFA 付費帳號（攻擊者成本）估：攻擊者購買付費帳號，批次列舉全球暴露的防火牆與 VPN 設備	1 個月	約 US$100–300（依查詢量）	一次性偵察	200.00	6,400	報告提到攻擊者購買 FOFA 與 ZoomEye 付費帳號
ZoomEye 付費帳號（攻擊者成本）估：同上	1 個月	約 US$50–150（依查詢量）	一次性偵察	100.00	3,200	報告提到攻擊者購買 FOFA 與 ZoomEye 付費帳號
Wasabi S3 儲存（攻擊者外洩成本）攻擊者外洩資料到 Wasabi S3 的儲存成本極低	假設 500 GB 外洩資料	US$0.0059/GB/月	1 個月	2.95	94	Wasabi 公開定價
修補 CVE-2025-64446 與 CVE-2026-0257 估：包含測試與部署；廠商提供的修補程式免費	約 0.5 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	429.69	13,750	本站假設值
設定管理介面存取限制與 MFA 估：包含設定與測試；防火牆與 VPN 設備本身支援 MFA	約 1 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性	859.38	27,500	本站假設值
檢視 30 天日誌與調查可疑登入估：若發現可疑活動，調查與回應成本將大幅增加	約 2 人日	內部工時或顧問日費 NT$20,000–35,000（估）	一次性調查	1718.75	55,000	本站假設值
受害者後續回應成本（若已入侵）報告未提供受害者回應成本；若演變為勒索軟體攻擊，成本可能達數十萬至數百萬美元	—	—	—	—	—	—
合計（僅可證明列）				0.00	0

匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：公開掃描工具定價（2026-10 查）；FOFA 與 ZoomEye 官網；本站人力工時假設。「舉證」欄標明每筆損失的證據來源與等級（可證明推論缺口）。

攻擊者花幾百美元就能批次掃描全球、利用已知漏洞、竊取超過 70,000 組憑證，再將存取權賣給勒索軟體集團。防守方修補與監控的成本遠低於被入侵的代價。

來源：本文整理自 The Hacker News 於 2026 年 10 月 23 日發布的報導，依據 Group-IB 與 NyxLab 的聯合調查。原文連結

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 10 分鐘。

來源

Group-IB & NyxLab 聯合調查報告（2026-10-23）

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

防火牆 VPN Fortinet Palo Alto 憑證竊取勒索軟體 IAB

看完的心情

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

允許 AI 直接修正（每項修改前仍會先問我）

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

對應課程模組

M1 網路邊界安全 · M5 憑證管理 · 想在自己的環境做一次同樣的盤點，從自我盤點開始。

← 上一份PHP 緊急修補後兩天：第二個 RCE 風險浮現但不修下一份 →八位元的信任鏈：eMudhra CA 的金鑰在毫秒內被破解