Hoe een AI-versterkte dreigingsactor meer dan 600 FortiGate-apparaten compromitteerde zonder exploit

Tussen 11 januari en 18 februari 2026 heeft een Russischtalige, financieel gemotiveerde actor meer dan 600 FortiGate-firewallapparaten in meer dan 55 landen gecompromitteerd — en dat zonder één enkele kwetsbaarheid in het product uit te buiten. Amazon Threat Intelligence, dat het onderzoek op 20 februari 2026 publiceerde, zegt dat de actor beheerinterfaces aantrof die op poorten 443, 8443, 10443 en 4443 aan het internet waren blootgesteld en binnenkwam met vaak hergebruikte wachtwoorden op accounts zonder multifactorauthenticatie. De apparaatconfiguraties die de actor eruit haalde, bevatten SSL-VPN-inloggegevens met herstelbare wachtwoorden, beheerdersinloggegevens, firewallbeleid en netwerktopologie. Commerciële large language models werden tijdens de operatie ingezet en schreven tools voor verkenning en stelden aanvalsplannen op; volgens een afzonderlijke onderzoeker die de eigen server van de actor vond, was één model ook geconfigureerd om offensieve commando's uit te voeren. Dit incident is één vermelding in the Orca AI Incident Archive, dat het volledige verslag, de bronvermelding en de beoordeling bevat, naast de naburige gevallen in de reeks.

Wat Amazon rapporteerde, en hoe het erachter kwam

Het rapport, "AI-versterkte dreigingsactor krijgt op grote schaal toegang tot FortiGate-apparaten", wordt toegeschreven aan CJ Moses, CISO van Amazon Integrated Security, en is op 20 februari 2026 gepubliceerd op de AWS Security Blog. De eerste inhoudelijke bevinding is een negatieve: "Er werd geen misbruik van FortiGate-kwetsbaarheden waargenomen." De initiële toegang verliep steeds via inloggegevens — systematisch scannen naar beheerinterfaces op de vier bovengenoemde poorten, gevolgd door authenticatiepogingen met vaak hergebruikte inloggegevens.

Wat de campagne zichtbaar maakte, was de operationele beveiliging van de actor zelf. Amazon zegt dat het de infrastructuur die de kwaadaardige hulpmiddelen hostte, heeft geïdentificeerd via routineus dreigingsinformatieonderzoek, en dat op dezelfde server door AI gegenereerde aanvalsplannen, slachtofferconfiguraties en de broncode voor op maat gemaakte hulpmiddelen stonden, opgeslagen zonder versleuteling. Die nalatigheid gaf Amazon een vrijwel compleet beeld van de methodologie. "Het is als een door AI aangedreven lopende band voor cybercriminaliteit," staat in het rapport.

De gestolen configuratiebestanden vormen de springplank van het apparaat naar het netwerk erachter. Volgens Amazon bevatten ze SSL-VPN-inloggegevens van gebruikers met herstelbare wachtwoorden, administratieve inloggegevens, volledige netwerktopologie en routinginformatie, firewallbeleid dat de interne architectuur onthult, en IPsec-VPN-peerconfiguraties. De actor schreef AI-ondersteunde Python-scripts om ze te parseren, te ontsleutelen en te ordenen.

De post-exploitatie, in Amazon's eigen woorden

Eenmaal binnen volgde de actor een standaard, goed gedocumenteerd pad. De operationele documentatie, in het Russisch geschreven, beschrijft het gebruik van Meterpreter met de mimikatz-module om DCSync-aanvallen uit te voeren tegen domeincontrollers en NTLM-wachtwoordhashes uit Active Directory te extraheren. Bij bevestigde compromitteringen verkreeg hij volledige databases met domeinreferenties. Amazon merkt ten minste één geval op waarin het Domain Administrator-account een plattekstwachtwoord gebruikte dat ofwel was hergebruikt uit de FortiGate-configuratie ofwel op zichzelf zwak was.

Van daaruit zijn de gedocumenteerde technieken pass-the-hash en pass-the-ticket tegen verdere infrastructuur, NTLM-relay met behulp van standaard poisoning-tools, en externe opdrachtuitvoering op Windows-hosts. De actor richtte zich specifiek op Veeam Backup & Replication-servers met PowerShell-scripts, gecompileerde decryptietools en pogingen om bekende Veeam-kwetsbaarheden te misbruiken — gedrag dat Amazon omschrijft als "consistent met pre-ransomwareactiviteiten", hoewel het rapport niet vermeldt dat er ransomware is ingezet.

De notities van de actor verwijzen naar verschillende CVE's, waaronder CVE-2019-7192, CVE-2023-27532 en CVE-2024-40711. BleepingComputer, dat op 21 februari 2026 over het rapport berichtte, identificeert de eerste als een QNAP-kwetsbaarheid voor remote code execution en de laatste twee als Veeam-problemen. Geen enkele daarvan was de toegangsweg. Veelzeggender nog: dezelfde notities vermelden herhaalde mislukkingen: diensten die al gepatcht waren, gesloten poorten, exploits die niet van toepassing waren op het doelbesturingssysteem. Voor één bevestigd slachtoffer concludeerde de actor zelf dat cruciale infrastructuur "goed beschermd" was, met "geen kwetsbare exploitatievectoren".

Twee beperkingen aan de attributie zijn het vermelden waard. Amazon zegt dat de actor "niet bekend staat als verbonden aan een geavanceerde persistente dreigingsgroep met door de staat gesponsorde middelen", en dat niet is waargenomen dat AWS-infrastructuur bij de campagne betrokken was.

Waar de AI daadwerkelijk zat

Amazon' verslag over de AI-laag is specifiek over rollen maar zwijgt over producten. De actor gebruikte ten minste twee verschillende commerciële LLM-aanbieders, aldus het rapport: één als primaire toolontwikkelaar, aanvalsplanner en operationeel assistent, en een tweede als aanvullende planner wanneer de actor hulp nodig had om binnen een bepaald netwerk van richting te veranderen. In één waargenomen geval diende de actor een volledige interne topologie in — IP-adressen, hostnamen, bevestigde inloggegevens en geïdentificeerde services — en vroeg om een stappenplan om systemen te bereiken die zijn bestaande tools niet konden bereiken.

Het bewijs van Amazon dat de tooling door een machine is geschreven, is stilistisch van aard en niet forensisch. Het noemt redundante commentaren die louter functienamen herhalen, een architectuur die meer investeert in uitvoeropmaak dan in functionaliteit, JSON die met stringmatching wordt geparseerd in plaats van met behoorlijke deserialisatie, en compatibiliteitsshimmen met lege documentatiestubs. De tools werkten voor het nauwe geval van de actor en faalden aan de randen. Het volume, merkt Amazon op, zou normaal gesproken een ontwikkelingsteam impliceren; hier kwam het van één actor of een zeer kleine groep.

Het AWS-rapport bevat geen enkele modelleverancier, geen enkele productnaam en geen enkele vermelding van het Model Context Protocol. Die verschijnen in een tweede onderzoekspublicatie die de volgende dag verscheen.

De server, en de namen die Amazon niet publiceerde

Op 21 februari 2026 publiceerde de beveiligingsblog Cyber and Ramen zijn eigen analyse van een open directory op 212.11.64[.]250:9999, gehost op AS4264 (Global-Data System IT Corporation, Zurich) — een van de twee adressen die Amazon vermeldt als infrastructuur van dreigingsactoren. De onderzoeker telde 1.402 bestanden in 139 submappen, waaronder gestolen back-ups van FortiGate-configuraties, Active Directory-mappinggegevens, dumps van inloggegevens, Nuclei-scansjablonen en Veeam-tools voor het extraheren van inloggegevens, plus twee mappen die naar Claude zijn vernoemd en meer dan 200 bestanden bevatten met taakuitvoer, sessie-diffs en gecachte prompttoestanden.

Twee aangepaste componenten krijgen een naam in die analyse. ARXON wordt beschreven als een Python Model Context Protocol-server die verkenning per doelwit verwerkt, DeepSeek aanroept om aanvalsplannen te genereren en een kennisbank bijhoudt die met elk doelwit groeit; hij bevat ook scripts voor het batchmatig via SSH aanmaken van FortiGate VPN-accounts en het valideren van Domain Admin-referenties. CHECKER2 is een Go- en Docker-gebaseerde orchestrator voor parallelle VPN-scans, met logs die 2.516 doelwitten in 106 landen tonen. De onderzoeker stelt dat er geen openbare verwijzingen naar een van beide tools konden worden gevonden, wat erop wijst dat beide voor deze operatie zijn gebouwd.

Dezelfde analyse beschrijft een blootstelling in december 2025 van dezelfde server, deze keer met een kopie van HexStrike, een open-source offensief MCP-framework, en een .claude-instellingenbestand dat Claude Code vooraf toestemming gaf om Impacket-tools, Metasploit en hashcat uit te voeren tegen hardgecodeerde domeininloggegevens van een werknemer van een groot Aziatisch mediabedrijf. In februari, zegt de onderzoeker, was de actor van dat open-source startpunt opgeschoven naar ARXON en CHECKER2 — een traject van ongeveer acht weken.

BleepingComputer bracht deze bevindingen over in een update van zijn artikel van 21 februari. Het onderscheid is belangrijk: ARXON, CHECKER2, DeepSeek en Claude Code zijn de interpretatie van de onderzoeker van bestanden, logs en instellingen in een onbeveiligde map. Amazon, dat onafhankelijk toegang had tot dezelfde infrastructuur, noemde geen enkele ervan. Geen enkele modelaanbieder heeft daarvan iets bevestigd.

Wat vaststaat, wat op één bron berust

Drie beweringen steunen op twee onafhankelijke partijen. Fortinets eigen blogpost van 6 maart 2026, "Attacks at the Speed of AI", stelt dat Fortinet "geen exploitatie van FortiGate-kwetsbaarheden heeft waargenomen" en dat de campagne slaagde via blootgestelde beheerpoorten en zwakke inloggegevens met single-factor-authenticatie, met behulp van password spraying. Dat bevestigt Amazons mechanisme van de kant van de leverancier, zonder dat een van beide partijen de gepubliceerde bewijzen van de ander heeft gezien.

Alleen Amazon is de bron voor de schaal — meer dan 600 apparaten, meer dan 55 landen, het venster van januari tot februari — en voor het actorprofiel: Russischtalig, financieel gemotiveerd, een laag tot gemiddeld technisch niveau, sterke afhankelijkheid van AI, beperkte diepgang na exploitatie, ontoereikende operationele beveiliging. Geen enkele derde partij heeft het cijfer van 600 genoemd.

Cyber en Ramen alleen zijn de bron voor de genoemde tooling, de modelleveranciers, de bestandsaantallen en de 2.516 scan-doelen. De eigen bewijsdocumenten bevestigden compromitteringen bij een industriële gasonderneming in Azië-Pacific, een telecomprovider in Turkije en de mediabedrijf uit de december-onthulling, met verkenning die verwijst naar Zuid-Korea, Egypte, Vietnam en Kenia — een bevestigde groep slachtoffers in minstens vijf landen, ruim minder dan de 55 die Amazon noemt. De twee getallen meten verschillende zaken, en geen van beide is publiekelijk met elkaar verzoend.

Fortinets reactie, en de omvang die het niet bevestigde

Fortinets bericht, door Carl Windsor en gedateerd op 6 maart 2026, stemt met Amazon overeen wat betreft het mechanisme en wijkt af wat betreft de omvang. "Op basis van Fortinets onderzoek en monitoring zijn enkele klanten getroffen door deze aanval," staat er. "We zijn bezig die organisaties op de hoogte te stellen." Het bevestigt niet 600 apparaten, neemt het aantal landen van Amazon niet over en noemt de actor niet.

De framing van Fortinet is dat de techniek oud is en de automatisering nieuw: password spraying tegen slecht beveiligde edge-apparaten, nu aangedreven door no-code, op prompts gebaseerde gesprekken. Het stelt dat de aanval "onmogelijk zou zijn geweest met MFA actief" en "zeer onwaarschijnlijk zou slagen" als een wachtwoordcomplexiteitsbeleid was ingeschakeld. Het publiceerde ook indicatoren: beheerderstoegang vanaf 212[.]11.64[.]250 of 185[.]196.11[.]225, het aanmaken van accounts met de namen fortiuser, fortinet-support of fortinet-tech-support, onverwachte VPN-configuraties of -gebruikers, en scripts die zijn ingepland om te worden uitgevoerd als persistentiemechanisme.

Dit is een verschil in reikwijdte, geen geschil over de vraag of de campagne heeft plaatsgevonden. Niemand die in het dossier wordt genoemd, betwist de intrusie; het archief beoordeelt die met een A, zonder markering dat er iets betwist is, en registreert reële schade.

Wat is er daarna veranderd?

Er is geen CVE en geen patch, omdat er geen kwetsbaarheid was. De remedie is configuratie, en beide organisaties kwamen uit op dezelfde lijst. Amazon zegt dat het indicatoren van compromittering met relevante partners heeft gedeeld, met branchepartners heeft samengewerkt en organisaties heeft geholpen stappen te nemen die de effectiviteit van de actor hebben verminderd; het rapport vermeldt geen aantal organisaties dat op de hoogte is gebracht. Fortinet zegt dat het getroffen klanten rechtstreeks op de hoogte brengt.

De technische richtlijnen zijn in beide gevallen consistent: haal beheerderstoegang weg van interfaces die aan internet zijn blootgesteld en beheer via een interne of out-of-band route; dwing MFA af voor beheerderstoegang en VPN-toegang; pas wachtwoordcomplexiteit toe; roteer SSL-VPN-referenties op elk apparaat waarvan de beheerinterface bereikbaar was of kan zijn geweest; controleer op hergebruik van wachtwoorden tussen FortiGate VPN-accounts en Active Directory; en isoleer back-upinfrastructuur, patch deze en bewaar onveranderlijke kopieën.

Voor detectie wijst Amazon op DCSync-activiteit (Event ID 4662 met replicatiegerelateerde GUID's), nieuwe geplande taken die zijn vernoemd naar legitieme Windows-services, ongebruikelijke externe beheerverbindingen vanuit VPN-adrespoelen, artefacten van LLMNR- en NBT-NS-poisoning, en ongeoorloofde toegang tot back-upopslagplaatsen voor inloggegevens. Amazon waarschuwt ook dat op handtekeningen gebaseerde detectie hier beperkte waarde heeft, omdat de tooling is gebouwd op legitieme open-sourcehulpprogramma's — Impacket, gogo, Nuclei — die bij gewone penetratietests voorkomen.

Waarom het record een mijlpaal is

Het archief markeert dit als een mijlpaalvermelding, en de reden is zichtbaar in het contrast tussen {{1}}wat de actor heeft bereikt{{/1}} en {{2}}wat de actor kon doen{{/2}}. Een enkele operator of een zeer kleine groep, ingeschat op laag tot gemiddeld vaardigheidsniveau, voerde gelijktijdige intrusies uit in tientallen landen, produceerde een toolkit die normaal gesproken een ontwikkelingsteam zou impliceren, en genereerde aanvalsplannen per doelwit snel genoeg om meerdere intrusies tegelijk gaande te houden.

Hetzelfde rapport levert de bovengrens. De actor kon geen aangepaste exploits compileren, kon mislukte exploitatiepogingen niet debuggen en kon niet improviseren wanneer een plan op een gehard doelwit stuitte — dus ging hij verder in plaats van vol te houden. De door AI gegenereerde code liep aan de randen stuk. De operationele notities zijn een verslag van gepatchte services en gesloten poorten. Wat de modellen weghaalden, was arbeid, geen oordeelsvermogen: verkenning, parsing, documentatie en planning werden geautomatiseerd; de onderdelen die aanpassing vereisten, bleven buiten bereik.

Dat is ook de reden waarom de openstaande vragen saai en specifiek zijn. Hoeveel organisaties Fortinet daadwerkelijk op de hoogte heeft gesteld, zou de kloof tussen 'een paar klanten' en meer dan 600 apparaten beslechten. Een tweede onderzoek van de ARXON-directory, onafhankelijk van de onderzoeker die deze heeft gevonden, zou duidelijk maken wat de tooling was en welke modellen deze aanriep. Tot die tijd ondersteunt het dossier een stevige conclusie over de methode en een veel zwakkere over de omvang.