Как злоумышленник, использующий ИИ, скомпрометировал 600+ устройств FortiGate без эксплойта

В период с 11 января по 18 февраля 2026 года русскоязычный финансово мотивированный злоумышленник скомпрометировал более 600 устройств межсетевого экрана FortiGate в более чем 55 странах — и сделал это, не эксплуатируя ни одной уязвимости в продукте. Amazon Threat Intelligence, опубликовавшая расследование 20 февраля 2026 года, сообщает, что злоумышленник обнаружил интерфейсы управления, доступные из интернета на портах 443, 8443, 10443 и 4443, и получил доступ, используя часто повторно используемые пароли в учётных записях без многофакторной аутентификации. Конфигурации устройств, которые он выгрузил, содержали учётные данные SSL-VPN с паролями, поддающимися восстановлению, учётные данные администратора, политику межсетевого экрана и сетевую топологию. В ходе операции использовались коммерческие большие языковые модели: они писали инструменты для разведки и составляли планы атак; по словам отдельного исследователя, обнаружившего сервер самого злоумышленника, одна модель также была настроена на выполнение атакующих команд. Этот инцидент входит в Архив инцидентов Orca AI, где приведены полная запись, её источники и оценка, а также смежные случаи из этой серии.

Что сообщила Amazon и как она это выяснила

Отчёт «AI-усиленный субъект угроз получает доступ к устройствам FortiGate в массовом масштабе» приписывается CJ Moses, CISO Amazon Integrated Security, и опубликован в AWS Security Blog 20 февраля 2026 года. Его первый содержательный вывод — отрицательный: «Не наблюдалось эксплуатации уязвимостей FortiGate». Первоначальный доступ во всех случаях основывался на учётных данных — систематическое сканирование интерфейсов управления на четырёх указанных выше портах, за которым следовали попытки аутентификации с использованием часто повторно используемых учётных данных.

Кампанию сделала заметной собственная операционная безопасность актора. Amazon сообщает, что выявила инфраструктуру, на которой размещался вредоносный инструментарий, в ходе рутинной работы по киберразведке, и что на том же сервере хранились сгенерированные ИИ планы атак, конфигурации жертв и исходный код специализированного инструментария — без шифрования. Эта оплошность дала Amazon почти полное представление о методологии. «Это похоже на сборочный конвейер киберпреступности, работающий на ИИ», — говорится в отчете.

Похищенные файлы конфигурации служат плацдармом для перехода от устройства к сети за ним. По данным Amazon, они содержат учетные данные пользователей SSL-VPN с восстановимыми паролями, административные учетные данные, полную информацию о топологии сети и маршрутизации, политики межсетевого экрана, раскрывающие внутреннюю архитектуру, и конфигурации пиров IPsec VPN. Злоумышленник написал Python-скрипты с использованием ИИ для разбора, расшифровки и упорядочивания этих файлов.

Постэксплуатация — словами самой Amazon

Попав внутрь, злоумышленник действовал по стандартному, хорошо задокументированному пути. Его операционная документация, написанная на русском языке, описывает использование Meterpreter с модулем mimikatz для запуска атак DCSync против контроллеров домена и извлечения хэшей паролей NTLM из Active Directory. В подтвержденных компрометациях он получил полные базы учетных данных домена. Amazon отмечает как минимум один случай, когда учетная запись администратора домена использовала пароль в открытом виде, который либо был повторно использован из конфигурации FortiGate, либо независимо был слабым.

Далее к задокументированным методам относятся pass-the-hash и pass-the-ticket против дальнейшей инфраструктуры, NTLM-ретрансляция с использованием стандартных инструментов отравления и удалённое выполнение команд на хостах Windows. Злоумышленник целенаправленно атаковал серверы Veeam Backup & Replication с помощью сценариев PowerShell, скомпилированных инструментов расшифровки и попыток эксплуатации известных уязвимостей Veeam — поведение, которое Amazon описывает как «{{1}}соответствующее операциям, предшествующим атаке программ-вымогателей{{/1}}», хотя в отчёте не зафиксировано развёртывание программ-вымогателей.

В заметках злоумышленника упоминаются несколько CVE, включая CVE-2019-7192, CVE-2023-27532 и CVE-2024-40711. BleepingComputer, освещавший этот отчёт 21 февраля 2026 года, определяет первую как уязвимость удалённого выполнения кода в QNAP, а две последние — как проблемы Veeam. Ни одна из них не стала способом проникновения. Что более показательно, те же заметки фиксируют повторяющиеся неудачи: сервисы уже пропатчены, порты закрыты, эксплойты не подходили к целевой операционной системе. В отношении одной подтверждённой жертвы собственная оценка злоумышленника пришла к выводу, что ключевая инфраструктура «хорошо защищена» и «не имеет уязвимых векторов эксплуатации».

Стоит прямо обозначить два ограничения атрибуции. Amazon заявляет, что об акторе «не известно, что он связан с какой-либо группой продвинутых постоянных угроз, обладающей спонсируемыми государством ресурсами», и что не наблюдалось участия инфраструктуры AWS в этой кампании.

Где на самом деле сидел ИИ

В описании Amazon, касающемся слоя ИИ, конкретно указаны роли, но ничего не сказано о продуктах. В отчёте говорится, что актор использовал как минимум двух разных коммерческих поставщиков LLM: одного — как основного разработчика инструментов, планировщика атак и операционного помощника, а второго — как дополнительного планировщика, когда актору требовалась помощь в перемещении внутри конкретной сети. В одном наблюдаемом случае актор предоставил полную внутреннюю топологию — IP-адреса, имена хостов, подтверждённые учётные данные и выявленные сервисы — и попросил пошаговый план доступа к системам, которых его существующие инструменты не могли достичь.

Доводы Amazon о том, что инструментарий был написан машиной, носят стилистический, а не криминалистический характер. В них перечисляются избыточные комментарии, лишь повторяющие названия функций, архитектура, в которой больше вложено в форматирование вывода, чем в функциональность, JSON, разбираемый сопоставлением строк, а не надлежащей десериализацией, и шимы совместимости с пустыми заглушками документации. Инструменты работали для узкого случая актора и отказывали на краях. Такой объём, отмечает Amazon, обычно подразумевал бы команду разработчиков; здесь он исходил от одного актора или очень небольшой группы.

В отчёте AWS нет ни одного поставщика моделей, ни одного названия продукта и ни одного упоминания Model Context Protocol. Они появляются во втором исследовании, опубликованном на следующий день.

Сервер и имена, которые Amazon не опубликовала

21 февраля 2026 года блог о безопасности Cyber and Ramen опубликовал собственный анализ открытого каталога по адресу 212.11.64[.]250:9999, размещённого на AS4264 (Global-Data System IT Corporation, Цюрих) — одного из двух адресов, которые Amazon указывает как инфраструктуру субъекта угрозы. Исследователь насчитал 1 402 файла в 139 подкаталогах, включая украденные резервные копии конфигурации FortiGate, данные сопоставления Active Directory, дампы учётных данных, шаблоны сканирования Nuclei и инструменты извлечения учётных данных Veeam, а также две папки, названные в честь Claude, содержащие более 200 файлов с результатами задач, диффами сессий и кэшированными состояниями промптов.

В этом анализе названы два пользовательских компонента. ARXON описывается как сервер Python Model Context Protocol, который собирает данные разведки по каждой цели, обращается к DeepSeek для генерации планов атак и ведёт базу знаний, пополняемую с каждой целью; он также содержит скрипты для пакетного создания учётных записей FortiGate VPN по SSH и проверки учётных данных Domain Admin. CHECKER2 — это основанный на Go оркестратор в Docker для параллельного сканирования VPN, журналы которого показывают 2 516 целей в 106 странах. Исследователь утверждает, что публичных упоминаний ни об одном из этих инструментов найти не удалось, что указывает на то, что оба были созданы для этой операции.

Тот же анализ описывает обнаружение в декабре 2025 года того же сервера — на этот раз содержащего копию HexStrike, открытого наступательного MCP-фреймворка, и файл настроек .claude, в котором Claude Code заранее получил разрешение запускать инструменты Impacket, Metasploit и hashcat против жёстко заданных доменных учётных данных, принадлежащих сотруднику крупной азиатской медиакомпании. По словам исследователя, к февралю субъект угрозы перешёл от этой открытой отправной точки к ARXON и CHECKER2 — прогрессия примерно за восемь недель.

{{1}}BleepingComputer{{/1}} сообщил об этих выводах в обновлении к своей публикации от 21 февраля. Это различие важно: {{2}}ARXON{{/2}}, {{3}}CHECKER2{{/3}}, {{4}}DeepSeek{{/4}} и {{5}}Claude Code{{/5}} — это трактовка исследователем файлов, журналов и настроек в незащищённом каталоге. {{6}}Amazon{{/6}}, имевшая независимый доступ к той же инфраструктуре, не назвала ни одного из них. Ни один поставщик моделей не подтвердил ничего из этого.

Что установлено, а что опирается на один источник

Три утверждения опираются на две независимые стороны. Собственный пост Fortinet в блоге от 6 марта 2026 года «Атаки со скоростью ИИ» утверждает, что Fortinet «не наблюдала эксплуатации уязвимостей FortiGate» и что кампания добилась успеха через открытые порты управления и слабые учётные данные с однофакторной аутентификацией, используя password spraying. Это подтверждает механизм Amazon со стороны вендора, хотя ни одна из сторон не видела опубликованных доказательств другой.

Только Amazon является источником данных о масштабе — более 600 устройств, более 55 стран, период с января по февраль — и о профиле актора: русскоязычный, финансово мотивированный, низкий или средний базовый технический уровень, широкая зависимость от ИИ, неглубокое постэксплуатационное воздействие, недостаточная операционная безопасность. Ни одна третья сторона не подтверждала цифру 600.

Только Cyber and Ramen является источником для названного инструментария, поставщиков моделей, количеств файлов и 2,516 целей сканирования. Её собственные документы с доказательствами подтвердили компрометации в промышленной газовой компании в Азиатско-Тихоокеанском регионе, у телекоммуникационного провайдера в Турции и в медиакомпании из декабрьской публикации, при этом разведывательные данные упоминали Южную Корею, Египет, Вьетнам и Кению — подтверждённый набор жертв как минимум в пяти странах, что намного меньше 55, на которые ссылается Amazon. Эти два числа измеряют разные вещи, и ни одно из них не было публично сопоставлено.

Ответ Fortinet и масштаб, который она не подтвердила

Публикация Fortinet, подготовленная Карлом Виндзором и датированная 6 марта 2026 года, соглашается с Amazon в отношении механизма, но расходится в оценке масштаба. «Согласно расследованию и мониторингу Fortinet, от этой атаки пострадало несколько клиентов», — говорится в ней. «Мы находимся в процессе уведомления этих организаций». В ней не подтверждается информация о 600 устройствах, не повторяется подсчёт стран Amazon и не называется исполнитель.

Позиция Fortinet такова: техника стара, а автоматизация нова: распыление паролей против плохо защищенных граничных устройств, теперь управляемое беседами на основе промптов без написания кода. Компания заявляет, что атака «была бы невозможна при наличии MFA» и «крайне маловероятно, что она увенчалась бы успехом» при включенной политике сложности паролей. Она также опубликовала индикаторы: доступ администратора с 212[.]11.64[.]250 или 185[.]196.11[.]225, создание учетных записей с именами fortiuser, fortinet-support или fortinet-tech-support, неожиданные конфигурации VPN или пользователи, а также скрипты, запланированные к выполнению как механизм сохранения присутствия.

Это расхождение в масштабе, а не спор о том, имела ли место кампания. Никто из упомянутых в записи не оспаривает вторжение; архив оценивает его на A, без отметки об оспаривании, и фиксирует реальный вред.

Что изменилось после этого

CVE и патча нет, потому что уязвимости не было. Исправление заключается в настройке конфигурации, и обе организации сошлись на одном и том же списке. Amazon заявляет, что передала соответствующим партнёрам индикаторы компрометации, сотрудничала с отраслевыми партнёрами и помогла организациям предпринять шаги, снизившие эффективность злоумышленника; в отчёте не указано число уведомлённых организаций. Fortinet заявляет, что напрямую уведомляет затронутых клиентов.

Технические рекомендации в обоих случаях совпадают: убрать административный доступ с интернет-доступных интерфейсов и управлять через внутренний или внеполосный канал; требовать MFA для административного доступа и VPN; применять политику сложности паролей; выполнить ротацию учетных данных SSL-VPN на любом устройстве, интерфейс управления которого был или мог быть доступен; провести аудит на предмет повторного использования паролей между учетными записями FortiGate VPN и Active Directory; а также изолировать инфраструктуру резервного копирования, установить на нее исправления и хранить неизменяемые копии.

Для обнаружения Amazon указывает на активность DCSync (событие с идентификатором 4662 и GUID, связанными с репликацией), новые запланированные задачи, названные так, чтобы имитировать легитимные службы Windows, необычные подключения удалённого управления из пулов адресов VPN, артефакты отравления LLMNR и NBT-NS, а также несанкционированный доступ к хранилищам учётных данных систем резервного копирования. Он также предупреждает, что сигнатурное обнаружение здесь имеет ограниченную ценность, поскольку инструментарий собран из легитимных утилит с открытым исходным кодом — Impacket, gogo, Nuclei, — которые встречаются в обычных тестах на проникновение.

Почему этот рекорд — веха

Архив отмечает эту запись как знаковую, и причина видна в контрасте между тем, чего субъект достиг, и тем, на что он был способен. Один оператор или очень небольшая группа с оценкой навыков от низкого до среднего проводили параллельные вторжения в десятках стран, создали инструментарий, который обычно подразумевает наличие команды разработчиков, и генерировали планы атак по каждой цели достаточно быстро, чтобы поддерживать несколько вторжений одновременно.

Тот же отчёт задаёт потолок. Атакующий не мог скомпилировать собственные эксплойты, не мог отладить неудачные попытки эксплуатации и не мог импровизировать, когда план сталкивался с защищённой целью, — поэтому он переходил к другому, а не упорствовал. Его сгенерированный ИИ код давал сбои в пограничных случаях. Его рабочие заметки — это перечень пропатченных сервисов и закрытых портов. Модели устранили труд, а не суждение: разведка, парсинг, документирование и планирование были автоматизированы; части, требовавшие адаптации, оставались недосягаемыми.

Именно поэтому открытые вопросы скучны и конкретны. Ответ на вопрос, сколько организаций Fortinet фактически уведомила, закрыл бы разрыв между «несколькими клиентами» и более чем 600 устройствами. Повторная проверка каталога ARXON, независимая от исследователя, который его обнаружил, установила бы, что это был за инструментарий и какие модели он вызывал. До тех пор имеющиеся данные поддерживают твердый вывод о методе и гораздо более слабый — о масштабе.