Como um ator aumentado por IA comprometeu mais de 600 dispositivos FortiGate sem um exploit

Entre 11 de janeiro e 18 de fevereiro de 2026, um ator de língua russa com motivação financeira comprometeu mais de 600 dispositivos de firewall FortiGate em mais de 55 países — e fez isso sem explorar uma única vulnerabilidade no produto. A Amazon Threat Intelligence, que publicou a investigação em 20 de fevereiro de 2026, afirma que o ator encontrou interfaces de gerenciamento expostas à internet nas portas 443, 8443, 10443 e 4443 e conseguiu acesso com senhas comumente reutilizadas em contas sem autenticação multifator. As configurações dos dispositivos que ele extraiu continham credenciais SSL-VPN com senhas recuperáveis, credenciais de administrador, política de firewall e topologia de rede. Modelos comerciais de linguagem de grande porte foram usados ao longo da operação, escrevendo ferramentas de reconhecimento e elaborando planos de ataque; segundo o relato de outro pesquisador que encontrou o servidor do próprio ator, um modelo também estava configurado para executar comandos ofensivos. Este incidente é uma entrada no Orca AI Incident Archive, que contém o registro completo, suas fontes e sua classificação, ao lado dos casos vizinhos da série.

O que a Amazon relatou e como descobriu

O relatório, "Ator de ameaça aumentado por IA acessa dispositivos FortiGate em escala", é atribuído a CJ Moses, CISO da Amazon Integrated Security, e foi publicado no AWS Security Blog em 20 de fevereiro de 2026. Sua primeira constatação substantiva é negativa: "Não foi observada exploração de vulnerabilidades do FortiGate." O acesso inicial foi baseado em credenciais durante todo o processo — varredura sistemática de interfaces de gerenciamento nas quatro portas acima, seguida por tentativas de autenticação usando credenciais comumente reutilizadas.

O que tornou a campanha visível foi a própria segurança operacional do ator. A Amazon afirma que identificou a infraestrutura que hospedava as ferramentas maliciosas por meio de trabalho rotineiro de inteligência de ameaças, e que o mesmo servidor continha planos de ataque gerados por IA, configurações de vítimas e o código-fonte de ferramentas personalizadas, armazenados sem criptografia. Essa falha deu à Amazon uma visão quase completa da metodologia. "É como uma linha de montagem movida a IA para o cibercrime", diz o relatório.

Os arquivos de configuração roubados são o pivô que liga o appliance à rede por trás dele. Segundo a Amazon, eles contêm credenciais de usuário de SSL-VPN com senhas recuperáveis, credenciais administrativas, topologia de rede e informações de roteamento completas, políticas de firewall que revelam a arquitetura interna e configurações de pares de VPN IPsec. O ator escreveu scripts Python assistidos por IA para analisá-los, descriptografá-los e organizá-los.

A pós-exploração, nas próprias palavras da Amazon

Uma vez dentro, o ator seguiu um caminho padrão e bem documentado. Sua documentação operacional, escrita em russo, descreve o uso do Meterpreter com o módulo mimikatz para executar ataques DCSync contra controladores de domínio e extrair hashes de senha NTLM do Active Directory. Em comprometimentos confirmados, ele obteve bancos de dados completos de credenciais de domínio. A Amazon observa pelo menos um caso em que a conta de Administrador de Domínio usava uma senha em texto simples que tinha sido reutilizada da configuração do FortiGate ou que era fraca por si só.

A partir daí, as técnicas documentadas são pass-the-hash e pass-the-ticket contra infraestrutura adicional, retransmissão NTLM usando ferramentas de envenenamento padrão e execução remota de comandos em hosts Windows. O agente visou especificamente servidores Veeam Backup & Replication com scripts PowerShell, ferramentas de descriptografia compiladas e tentativas contra vulnerabilidades conhecidas do Veeam — comportamento que a Amazon descreve como "consistente com operações pré-ransomware", embora o relatório não registre a implantação de ransomware.

As notas do ator fazem referência a várias CVEs, incluindo CVE-2019-7192, CVE-2023-27532 e CVE-2024-40711. O BleepingComputer, que cobriu o relatório em 21 de fevereiro de 2026, identifica a primeira como uma falha de execução remota de código do QNAP e as duas últimas como problemas do Veeam. Nenhuma delas foi a forma de entrada. Mais revelador ainda, as mesmas notas registram falhas repetidas: serviços já corrigidos, portas fechadas, exploits que não se aplicavam ao sistema operacional alvo. Para uma vítima confirmada, a própria avaliação do ator concluiu que a infraestrutura crítica estava "bem protegida", com "nenhum vetor de exploração vulnerável".

Duas limitações da atribuição merecem ser declaradas claramente. A Amazon afirma que o ator "não é conhecido por estar associado a qualquer grupo de ameaça persistente avançada com recursos patrocinados pelo Estado" e que não foi observado envolvimento da infraestrutura da AWS na campanha.

Onde a IA realmente se sentou

O relato da Amazon sobre a camada de IA é específico quanto aos papéis, mas silencia sobre produtos. Segundo o relatório, o ator usou pelo menos dois provedores comerciais distintos de LLM: um como principal desenvolvedor de ferramentas, planejador de ataques e assistente operacional, e um segundo como planejador suplementar quando o ator precisava de ajuda para pivotar dentro de uma rede específica. Em um caso observado, o ator enviou uma topologia interna completa — endereços IP, nomes de host, credenciais confirmadas e serviços identificados — e pediu um plano passo a passo para alcançar sistemas que suas ferramentas existentes não conseguiam acessar.

A evidência da Amazon de que as ferramentas foram escritas por máquina é estilística, não forense. Ela lista comentários redundantes que apenas repetem nomes de funções, uma arquitetura que investe mais em formatação de saída do que em funcionalidade, JSON interpretado por correspondência de strings em vez de desserialização adequada, e camadas de compatibilidade com stubs de documentação vazios. As ferramentas funcionaram para o caso restrito do ator e falharam nas margens. O volume, observa a Amazon, normalmente implicaria uma equipe de desenvolvimento; aqui, veio de um único ator ou de um grupo muito pequeno.

O relatório da AWS não contém qualquer fornecedor de modelos, nome de produto ou menção ao Model Context Protocol. Esses elementos aparecem em um segundo estudo publicado no dia seguinte.

O servidor, e os nomes que a Amazon não publicou

Em 21 de fevereiro de 2026, o blog de segurança Cyber and Ramen publicou sua própria análise de um diretório aberto em 212.11.64[.]250:9999, hospedado na AS4264 (Global-Data System IT Corporation, Zurique) — um dos dois endereços que a Amazon lista como infraestrutura de agentes de ameaça. O pesquisador contou 1.402 arquivos em 139 subdiretórios, incluindo backups de configuração do FortiGate roubados, dados de mapeamento do Active Directory, dumps de credenciais, modelos de varredura do Nuclei e ferramentas de extração de credenciais do Veeam, além de duas pastas com o nome Claude contendo mais de 200 arquivos de saída de tarefas, diffs de sessão e estados de prompt em cache.

Dois componentes personalizados são nomeados nessa análise. O ARXON é descrito como um servidor Python do Model Context Protocol que ingere reconhecimento por alvo, chama o DeepSeek para gerar planos de ataque e mantém uma base de conhecimento que cresce com cada alvo; ele também carrega scripts para criação em lote, via SSH, de contas VPN do FortiGate e validação de credenciais de Domain Admin. O CHECKER2 é um orquestrador em Go baseado em Docker para varredura paralela de VPN, com registros que mostram 2.516 alvos em 106 países. O pesquisador afirma que não foi possível encontrar referências públicas a nenhuma das duas ferramentas, indicando que ambas foram construídas para esta operação.

A mesma análise descreve uma exposição de dezembro de 2025 do mesmo servidor, desta vez contendo uma cópia do HexStrike, um framework MCP ofensivo de código aberto, e um arquivo de configurações .claude que pré-autorizou o Claude Code a executar ferramentas Impacket, Metasploit e hashcat contra credenciais de domínio embutidas no código pertencentes a um funcionário de uma grande empresa de mídia asiática. Em fevereiro, segundo o pesquisador, o ator havia passado daquele ponto de partida de código aberto para ARXON e CHECKER2 — uma progressão de aproximadamente oito semanas.

BleepingComputer divulgou essas conclusões em uma atualização de sua reportagem de 21 de fevereiro. A distinção é importante: ARXON, CHECKER2, DeepSeek e Claude Code são a interpretação do pesquisador sobre arquivos, logs e configurações em um diretório não protegido. A Amazon, que tinha acesso independente à mesma infraestrutura, não nomeou nenhum deles. Nenhum provedor de modelos confirmou nada disso.

O que está estabelecido, o que se baseia em uma única fonte

Três afirmações assentam em duas partes independentes. A publicação no blogue da própria Fortinet, de 6 de março de 2026, intitulada «Attacks at the Speed of AI», afirma que a Fortinet «não observou qualquer exploração de vulnerabilidades do FortiGate» e que a campanha teve êxito através de portas de gestão expostas e credenciais fracas com autenticação de fator único, recorrendo a password spraying. Isso corrobora o mecanismo da Amazon do lado do fornecedor, sem que nenhuma das partes tenha visto as provas publicadas pela outra.

A própria Amazon é a única fonte para a escala — mais de 600 dispositivos, mais de 55 países, a janela de janeiro a fevereiro — e para o perfil do ator: falante de russo, com motivação financeira, base técnica de baixa a média, dependência extensiva de IA, profundidade limitada de pós-exploração, segurança operacional inadequada. Nenhum terceiro relatou o número de 600.

Cyber and Ramen, por si só, é a fonte para as ferramentas nomeadas, os fornecedores de modelos, as contagens de arquivos e os 2.516 alvos de varredura. Seus próprios documentos de evidência confirmaram comprometimentos em uma empresa de gás industrial na Ásia-Pacífico, uma provedora de telecomunicações na Turquia e a empresa de mídia da exposição de dezembro, com reconhecimento referenciando Coreia do Sul, Egito, Vietnã e Quênia — um conjunto confirmado de vítimas em pelo menos cinco países, bem aquém dos 55 citados pela Amazon. Os dois números medem coisas diferentes, e nenhum deles foi reconciliado publicamente.

A resposta da Fortinet, e a escala que ela não confirmou

A publicação da Fortinet, de autoria de Carl Windsor e datada de 6 de março de 2026, concorda com a Amazon quanto ao mecanismo e diverge quanto à magnitude. “Com base na investigação e no monitoramento da Fortinet, alguns clientes foram impactados por este ataque”, diz o texto. “Estamos em processo de notificar essas organizações.” Ela não confirma 600 dispositivos, não adota a contagem de países da Amazon e não nomeia o ator.

A visão da Fortinet é que a técnica é antiga e a automação é nova: password spraying contra dispositivos de borda mal protegidos, agora impulsionado por conversas baseadas em prompts sem código. A empresa afirma que o ataque "teria sido impossível com MFA em vigor" e "altamente improvável de ter sucesso" com uma política de complexidade de palavras-passe ativada. Também publicou indicadores: acesso de administrador a partir de 212[.]11.64[.]250 ou 185[.]196[.]225, a criação de contas com os nomes fortiuser, fortinet-support ou fortinet-tech-support, configurações ou utilizadores VPN inesperados, e scripts agendados para serem executados como mecanismo de persistência.

Trata-se de uma divergência de escopo, não de uma disputa sobre se a campanha ocorreu. Ninguém nomeado no registro contesta a intrusão; o arquivo a classifica como A, sem sinalização de disputa, e registra danos reais.

O que mudou depois

Não há CVE nem patch, porque não havia vulnerabilidade. A remediação é de configuração, e ambas as organizações convergiram para a mesma lista. A Amazon diz que compartilhou indicadores de comprometimento com parceiros relevantes, colaborou com parceiros do setor e ajudou organizações a adotar medidas que reduziram a eficácia do ator; o relatório não informa quantas organizações foram notificadas. A Fortinet diz que está notificando diretamente os clientes afetados.

A orientação técnica é consistente entre ambos: remover o acesso administrativo das interfaces voltadas para a internet e gerenciar por um caminho interno ou fora de banda; exigir MFA no acesso administrativo e à VPN; aplicar complexidade de senha; rotacionar credenciais SSL-VPN em qualquer dispositivo cuja interface de gerenciamento tenha estado ou possa ter estado acessível; auditar a reutilização de senhas entre contas VPN do FortiGate e o Active Directory; e isolar a infraestrutura de backup, aplicar patches nela e manter cópias imutáveis.

Para deteção, a Amazon aponta para a atividade DCSync (ID de Evento 4662 com GUIDs relacionados com replicação), novas tarefas agendadas com nomes que imitam serviços legítimos do Windows, ligações invulgares de gestão remota a partir de pools de endereços VPN, artefactos de envenenamento de LLMNR e NBT-NS e acesso não autorizado a armazenamentos de credenciais de backup. Também alerta que a deteção baseada em assinaturas tem valor limitado neste caso, porque as ferramentas são construídas a partir de utilitários open-source legítimos — Impacket, gogo, Nuclei — que aparecem em testes de penetração vulgares.

Por que o recorde é um marco

O arquivo classifica esta como uma entrada histórica, e a razão é visível no contraste entre o que o ator alcançou e o que o ator poderia fazer. Um único operador ou grupo muito pequeno, avaliado como de habilidade baixa a média, conduziu intrusões simultâneas em dezenas de países, produziu um conjunto de ferramentas que normalmente implicaria uma equipe de desenvolvimento e gerou planos de ataque por alvo rápido o suficiente para manter várias intrusões em andamento ao mesmo tempo.

O mesmo relatório fornece o teto. O ator não conseguiu compilar exploits personalizados, não conseguiu depurar tentativas de exploração falhadas e não conseguiu improvisar quando um plano encontrou um alvo endurecido — por isso seguiu em frente em vez de persistir. Seu código gerado por IA quebrava nas bordas. Suas notas operacionais são um registro de serviços corrigidos e portas fechadas. O que os modelos removeram foi trabalho, não julgamento: reconhecimento, parsing, documentação e planejamento foram automatizados; as partes que exigiam adaptação permaneceram fora de alcance.

É também por isso que as perguntas em aberto são áridas e específicas. O número de organizações que a Fortinet realmente notificou esclareceria a diferença entre "alguns clientes" e mais de 600 dispositivos. Uma segunda análise do diretório ARXON, independente do pesquisador que o encontrou, esclareceria qual era a ferramenta e quais modelos ela consultava. Até lá, o registro sustenta uma conclusão firme sobre o método e uma muito mais fraca sobre a magnitude.