ผู้โจมตีที่เสริมความสามารถด้วย AI เจาะระบบอุปกรณ์ FortiGate กว่า 600 เครื่องได้อย่างไร โดยไม่ต้องใช้ช่องโหว่

ระหว่างวันที่ 11 มกราคมถึง 18 กุมภาพันธ์ 2026 ผู้ก่อเหตุที่พูดภาษารัสเซียและมีแรงจูงใจทางการเงินได้เจาะระบบอุปกรณ์ไฟร์วอลล์ FortiGate มากกว่า 600 เครื่องในกว่า 55 ประเทศ — และทำได้โดยไม่ใช้ช่องโหว่แม้แต่รายการเดียวในผลิตภัณฑ์ Amazon Threat Intelligence ซึ่งเผยแพร่การสอบสวนเมื่อวันที่ 20 กุมภาพันธ์ 2026 ระบุว่าผู้ก่อเหตุพบอินเทอร์เฟซการจัดการที่เปิดเผยสู่อินเทอร์เน็ตบนพอร์ต 443, 8443, 10443 และ 4443 และเข้าถึงได้ด้วยรหัสผ่านที่มักถูกนำไปใช้ซ้ำบนบัญชีที่ไม่มีการพิสูจน์ตัวตนหลายปัจจัย การกำหนดค่าอุปกรณ์ที่ดึงออกมาประกอบด้วยข้อมูลรับรอง SSL-VPN ที่มีรหัสผ่านซึ่งกู้คืนได้ ข้อมูลรับรองผู้ดูแลระบบ นโยบายไฟร์วอลล์ และโทโพโลยีเครือข่าย โมเดลภาษาขนาดใหญ่เชิงพาณิชย์ถูกใช้ตลอดปฏิบัติการ โดยเขียนเครื่องมือสำหรับการลาดตระเวนและร่างแผนการโจมตี ตามรายงานของนักวิจัยอีกท่านหนึ่งซึ่งพบเซิร์ฟเวอร์ของผู้ก่อเหตุเอง โมเดลหนึ่งยังถูกกำหนดค่าให้รันคำสั่งโจมตีด้วย เหตุการณ์นี้เป็นหนึ่งรายการใน the Orca AI Incident Archive ซึ่งบรรจุบันทึกฉบับเต็ม แหล่งที่มา และการจัดเกรดของเหตุการณ์นี้ พร้อมกับกรณีใกล้เคียงอื่น ๆ ในชุดเดียวกัน

สิ่งที่ Amazon รายงาน และวิธีที่รู้เรื่องนี้

รายงาน "AI-augmented threat actor accesses FortiGate devices at scale" ระบุว่าเป็นผลงานของ CJ Moses, CISO ของ Amazon Integrated Security และเผยแพร่บน AWS Security Blog เมื่อวันที่ 20 กุมภาพันธ์ 2026 ข้อค้นพบเชิงสาระประการแรกเป็นเชิงลบ: "ไม่พบการใช้ประโยชน์จากช่องโหว่ของ FortiGate" การเข้าถึงในระยะแรกอาศัยข้อมูลรับรองตลอดกระบวนการ — การสแกนอินเทอร์เฟซการจัดการบนพอร์ตทั้งสี่ข้างต้นอย่างเป็นระบบ ตามด้วยความพยายามยืนยันตัวตนโดยใช้ข้อมูลรับรองที่มักถูกนำมาใช้ซ้ำ

สิ่งที่ทำให้แคมเปญนี้ปรากฏชัดคือมาตรการรักษาความปลอดภัยในการปฏิบัติการของผู้ก่อเหตุเอง Amazon กล่าวว่าตนระบุโครงสร้างพื้นฐานที่โฮสต์เครื่องมืออันเป็นอันตรายได้ผ่านงานข่าวกรองภัยคุกคามตามปกติ และเซิร์ฟเวอร์เดียวกันนั้นเก็บแผนโจมตีที่สร้างโดย AI ข้อมูลการกำหนดค่าเหยื่อ และซอร์สโค้ดของเครื่องมือที่สร้างขึ้นเอง โดยไม่ได้เข้ารหัส ความบกพร่องนั้นทำให้ Amazon เห็นภาพวิธีการได้เกือบทั้งหมด รายงานระบุว่า “มันเหมือนสายการผลิตอัตโนมัติที่ขับเคลื่อนด้วย AI สำหรับอาชญากรรมไซเบอร์”

ไฟล์กำหนดค่าที่ถูกขโมยไปเป็นจุดเปลี่ยนผ่านจากอุปกรณ์ไปยังเครือข่ายที่อยู่เบื้องหลัง ตามข้อมูลของ Amazon ไฟล์เหล่านี้มีข้อมูลรับรองผู้ใช้ SSL-VPN พร้อมรหัสผ่านที่กู้คืนได้ ข้อมูลรับรองสำหรับผู้ดูแลระบบ ข้อมูลโทโพโลยีเครือข่ายและเส้นทางแบบครบถ้วน นโยบายไฟร์วอลล์ที่เปิดเผยสถาปัตยกรรมภายใน และการกำหนดค่าคู่เชื่อมต่อ IPsec VPN ผู้ก่อเหตุเขียนสคริปต์ Python ที่ใช้ AI ช่วยในการแยกวิเคราะห์ ถอดรหัส และจัดระเบียบไฟล์เหล่านี้

ขั้นตอนหลังการเจาะระบบ ในคำพูดของ Amazon เอง

เมื่อเข้ามาได้แล้ว ผู้โจมตีได้เดินตามเส้นทางมาตรฐานที่ได้รับการบันทึกไว้อย่างดี เอกสารการปฏิบัติการของกลุ่มซึ่งเขียนเป็นภาษารัสเซีย อธิบายถึงการใช้ Meterpreter กับโมดูล mimikatz เพื่อทำการโจมตีแบบ DCSync ต่อโดเมนคอนโทรลเลอร์ และดึงแฮชรหัสผ่าน NTLM จาก Active Directory ในการบุกรุกที่ได้รับการยืนยันแล้ว กลุ่มได้เข้าถึงฐานข้อมูลข้อมูลรับรองของโดเมนฉบับสมบูรณ์ Amazon ระบุว่ามีอย่างน้อยหนึ่งกรณีที่บัญชี Domain Administrator ใช้รหัสผ่านแบบข้อความธรรมดา ซึ่งอาจถูกนำมาใช้ซ้ำจากคอนฟิกูเรชันของ FortiGate หรืออ่อนแอโดยตัวมันเอง

จากจุดนั้น เทคนิคที่มีการบันทึกไว้ ได้แก่ pass-the-hash และ pass-the-ticket ต่อโครงสร้างพื้นฐานอื่น ๆ การ relay NTLM โดยใช้เครื่องมือ poisoning มาตรฐาน และการรันคำสั่งจากระยะไกลบนโฮสต์ Windows ผู้โจมตีมุ่งเป้าไปที่เซิร์ฟเวอร์ Veeam Backup & Replication โดยเฉพาะด้วยสคริปต์ PowerShell เครื่องมือถอดรหัสที่คอมไพล์แล้ว และความพยายามโจมตีช่องโหว่ Veeam ที่รู้จัก ซึ่ง Amazon อธิบายว่าเป็นพฤติกรรมที่ "สอดคล้องกับการดำเนินการก่อนการเรียกค่าไถ่" แม้ว่ารายงานจะไม่ได้บันทึกว่ามีการติดตั้งใช้งาน ransomware ก็ตาม

บันทึกของผู้โจมตีอ้างถึง CVE หลายรายการ รวมถึง CVE-2019-7192, CVE-2023-27532 และ CVE-2024-40711 BleepingComputer ซึ่งรายงานข่าวนี้เมื่อวันที่ 21 กุมภาพันธ์ 2026 ระบุว่ารายการแรกเป็นช่องโหว่การเรียกใช้โค้ดจากระยะไกลของ QNAP และสองรายการหลังเป็นปัญหาของ Veeam ไม่มีรายการใดเลยที่เป็นช่องทางเข้า ที่บอกได้ชัดยิ่งกว่านั้น บันทึกเดียวกันยังบันทึกความล้มเหลวซ้ำ ๆ ได้แก่ บริการที่แพตช์แล้ว พอร์ตที่ปิด และช่องโหว่ที่ใช้ไม่ได้กับระบบปฏิบัติการเป้าหมาย สำหรับเหยื่อรายหนึ่งที่ยืนยันแล้ว การประเมินของผู้โจมตีเองสรุปว่าโครงสร้างพื้นฐานสำคัญ "ได้รับการป้องกันอย่างดี" โดย "ไม่มีเวกเตอร์การโจมตีที่มีช่องโหว่"

ข้อจำกัดสองประการเกี่ยวกับการระบุตัวผู้ก่อเหตุที่ควรกล่าวอย่างตรงไปตรงมา ได้แก่ Amazon ระบุว่าผู้กระทำรายนี้ "ไม่เป็นที่ทราบว่ามีความเชื่อมโยงกับกลุ่มภัยคุกคามถาวรขั้นสูงใด ๆ ที่มีทรัพยากรสนับสนุนจากรัฐ" และไม่พบว่ามีโครงสร้างพื้นฐานของ AWS เข้ามาเกี่ยวข้องในแคมเปญนี้

ตำแหน่งที่ AI นั่งอยู่จริง ๆ

คำชี้แจงของ Amazon เกี่ยวกับเลเยอร์ AI ระบุบทบาทอย่างเจาะจงแต่ไม่กล่าวถึงผลิตภัณฑ์ รายงานระบุว่าแอกเตอร์ใช้ผู้ให้บริการ LLM เชิงพาณิชย์ที่แตกต่างกันอย่างน้อยสองราย โดยรายหนึ่งเป็นผู้พัฒนาเครื่องมือหลัก ผู้วางแผนการโจมตี และผู้ช่วยด้านปฏิบัติการ และอีกรายเป็นผู้วางแผนเสริมเมื่อแอกเตอร์ต้องการความช่วยเหลือในการเคลื่อนย้ายภายในเครือข่ายใดเครือข่ายหนึ่ง ในกรณีหนึ่งที่ตรวจพบ แอกเตอร์ได้ส่งโทโพโลยีภายในที่สมบูรณ์ ได้แก่ ที่อยู่ IP ชื่อโฮสต์ ข้อมูลรับรองที่ยืนยันแล้ว และบริการที่ระบุไว้ และขอแผนทีละขั้นตอนเพื่อเข้าถึงระบบที่เครื่องมือที่มีอยู่ของตนไม่สามารถเข้าถึงได้

หลักฐานของ Amazon ที่ว่าเครื่องมือนี้ถูกเขียนโดยเครื่องจักรนั้นเป็นหลักฐานเชิงรูปแบบมากกว่าเชิงการตรวจพิสูจน์ เอกสารระบุถึงความคิดเห็นที่ซ้ำซ้อนซึ่งเพียงแค่กล่าวถึงชื่อฟังก์ชันซ้ำอีกครั้ง สถาปัตยกรรมที่ลงทุนกับการจัดรูปแบบผลลัพธ์มากกว่าการทำงานจริง JSON ที่ถูกแยกวิเคราะห์ด้วยการจับคู่สตริงแทนการดีซีเรียลไลซ์อย่างถูกต้อง และชั้นความเข้ากันได้ (compatibility shims) ที่มีโครงเอกสารประกอบว่างเปล่า เครื่องมือเหล่านี้ทำงานได้สำหรับกรณีแคบ ๆ ของผู้กระทำ และล้มเหลวที่ขอบเขตปลีกย่อย Amazon ตั้งข้อสังเกตว่า โดยปกติปริมาณเช่นนี้จะบ่งชี้ถึงทีมพัฒนา แต่ในที่นี้กลับมาจากผู้กระทำคนเดียวหรือกลุ่มที่เล็กมาก

สิ่งที่รายงานของ AWS ไม่มีคือผู้จำหน่ายโมเดลใด ๆ ชื่อผลิตภัณฑ์ใด ๆ และการกล่าวถึง Model Context Protocol สิ่งเหล่านั้นปรากฏอยู่ในงานวิจัยชิ้นที่สองซึ่งเผยแพร่ในวันถัดมา

เซิร์ฟเวอร์ และชื่อที่ Amazon ไม่ได้เปิดเผย

เมื่อวันที่ 21 กุมภาพันธ์ 2026 บล็อกด้านความปลอดภัย Cyber and Ramen ได้เผยแพร่การวิเคราะห์ของตนเองเกี่ยวกับไดเรกทอรีเปิดที่ 212.11.64[.]250:9999 ซึ่งโฮสต์อยู่บน AS4264 (Global-Data System IT Corporation, Zurich) — หนึ่งในสองที่อยู่ที่ Amazon ระบุว่าเป็นโครงสร้างพื้นฐานของผู้ก่อภัยคุกคาม นักวิจัยนับไฟล์ได้ 1,402 ไฟล์ใน 139 ไดเรกทอรีย่อย รวมถึงไฟล์สำรองการกำหนดค่าของ FortiGate ที่ถูกขโมย ข้อมูลการแมป Active Directory การดัมป์ข้อมูลรับรอง เทมเพลตการสแกนของ Nuclei และเครื่องมือสกัดข้อมูลรับรองของ Veeam พร้อมกับสองโฟลเดอร์ที่ตั้งชื่อตาม Claude ซึ่งมีไฟล์มากกว่า 200 ไฟล์ของเอาต์พุตงาน ส่วนต่างของเซสชัน และสถานะพรอมต์ที่แคชไว้

มีการระบุชื่อคอมโพเนนต์แบบกำหนดเองสองรายการในการวิเคราะห์นั้น ARXON ถูกอธิบายว่าเป็นเซิร์ฟเวอร์ Python Model Context Protocol ที่รับข้อมูลการสำรวจเป้าหมายแต่ละรายการ เรียก DeepSeek เพื่อสร้างแผนการโจมตี และเก็บฐานความรู้ที่ขยายเพิ่มขึ้นตามแต่ละเป้าหมาย นอกจากนี้ยังมีสคริปต์สำหรับการสร้างบัญชี FortiGate VPN แบบกลุ่มผ่าน SSH และการตรวจสอบข้อมูลรับรอง Domain Admin CHECKER2 เป็นออร์เคสเตรเตอร์ที่ใช้ Go และ Docker สำหรับการสแกน VPN แบบขนาน โดยมีบันทึกที่แสดงเป้าหมาย 2,516 รายการใน 106 ประเทศ นักวิจัยระบุว่าไม่พบการอ้างอิงสาธารณะถึงเครื่องมือใดเครื่องมือหนึ่งเหล่านี้ ซึ่งบ่งชี้ว่าทั้งสองถูกสร้างขึ้นสำหรับปฏิบัติการนี้

การวิเคราะห์เดียวกันนี้อธิบายถึงการเปิดเผยเซิร์ฟเวอร์เดียวกันในเดือนธันวาคม 2025 โดยครั้งนี้มีสำเนาของ HexStrike ซึ่งเป็นเฟรมเวิร์ก MCP เชิงรุกแบบโอเพนซอร์ส และไฟล์การตั้งค่า .claude ที่อนุมัติล่วงหน้าให้ Claude Code รันเครื่องมือ Impacket, Metasploit และ hashcat กับข้อมูลรับรองโดเมนที่กำหนดตายตัวซึ่งเป็นของพนักงานคนหนึ่งของบริษัทสื่อขนาดใหญ่ในเอเชีย ภายในเดือนกุมภาพันธ์ นักวิจัยกล่าวว่า ผู้ก่อเหตุได้ย้ายจากจุดเริ่มต้นแบบโอเพนซอร์สดังกล่าวไปยัง ARXON และ CHECKER2 ซึ่งเป็นความคืบหน้าประมาณแปดสัปดาห์

BleepingComputer รายงานข้อค้นพบเหล่านี้ในการอัปเดตข่าววันที่ 21 กุมภาพันธ์ของตน ความแตกต่างนี้สำคัญ: ARXON, CHECKER2, DeepSeek และ Claude Code เป็นการตีความไฟล์ บันทึก และการตั้งค่าของนักวิจัยในไดเรกทอรีที่ไม่มีการป้องกัน Amazon ซึ่งเข้าถึงโครงสร้างพื้นฐานเดียวกันได้โดยอิสระ ไม่ได้ระบุชื่อสิ่งใดในจำนวนนั้นเลย ยังไม่มีผู้ให้บริการโมเดลรายใดยืนยันเรื่องใด ๆ เหล่านี้

สิ่งที่ยืนยันได้แล้วคืออะไร สิ่งใดอาศัยแหล่งข้อมูลเพียงแหล่งเดียว

ข้อกล่าวอ้างสามข้อตั้งอยู่บนข้อมูลจากสองฝ่ายที่เป็นอิสระต่อกัน โพสต์บล็อกของ Fortinet เองเมื่อวันที่ 6 มีนาคม 2026 ชื่อ "Attacks at the Speed of AI" ระบุว่า Fortinet "ไม่พบการนำช่องโหว่ของ FortiGate ไปใช้ประโยชน์" และแคมเปญนั้นประสบความสำเร็จผ่านพอร์ตการจัดการที่เปิดเผยและข้อมูลรับรองที่อ่อนแอซึ่งใช้การยืนยันตัวตนแบบปัจจัยเดียว โดยใช้ password spraying สิ่งนี้ยืนยันกลไกของ Amazon จากฝั่งผู้ขาย โดยที่ทั้งสองฝ่ายยังไม่เคยเห็นหลักฐานที่อีกฝ่ายเผยแพร่

{{1}}Amazon เพียงแห่งเดียว{{/1}} เป็นแหล่งที่มาของขนาด — {{2}}อุปกรณ์มากกว่า 600 เครื่อง มากกว่า 55 ประเทศ ช่วงเวลามกราคมถึงกุมภาพันธ์{{/2}} — และเป็นแหล่งที่มาของโปรไฟล์ผู้ก่อเหตุ: {{3}}พูดภาษารัสเซีย มีแรงจูงใจด้านการเงิน พื้นฐานทางเทคนิคระดับต่ำถึงปานกลาง พึ่งพา AI อย่างมาก ความลึกในการดำเนินการหลังการโจมตีตื้นเขิน ความปลอดภัยในการปฏิบัติการไม่เพียงพอ{{/3}} {{4}}ไม่มีบุคคลที่สามรายใดรายงานตัวเลข 600 ซ้ำ{{/4}}

Cyber and Ramen เท่านั้นที่เป็นแหล่งที่มาของเครื่องมือที่ระบุชื่อ ผู้จำหน่ายโมเดล จำนวนไฟล์ และเป้าหมายการสแกน 2,516 รายการ เอกสารหลักฐานของ Cyber and Ramen เองยืนยันการถูกบุกรุกที่บริษัทก๊าซอุตสาหกรรมแห่งหนึ่งในเอเชียแปซิฟิก ผู้ให้บริการโทรคมนาคมรายหนึ่งในตุรกี และบริษัทสื่อจากเหตุการณ์เปิดเผยข้อมูลในเดือนธันวาคม โดยการลาดตระเวนอ้างอิงถึงเกาหลีใต้ อียิปต์ เวียดนาม และเคนยา — ชุดเหยื่อที่ได้รับการยืนยันในอย่างน้อยห้าประเทศ ซึ่งน้อยกว่าตัวเลข 55 รายที่ Amazon อ้างถึงมาก ตัวเลขทั้งสองวัดสิ่งที่แตกต่างกัน และยังไม่มีการกระทบยอดให้สอดคล้องกันต่อสาธารณะ

การตอบสนองของ Fortinet และขนาดที่ไม่ได้ยืนยัน

โพสต์ของ Fortinet โดย Carl Windsor ลงวันที่ 6 มีนาคม 2026 เห็นพ้องกับ Amazon ในเรื่องกลไก แต่แตกต่างในเรื่องขนาดของเหตุการณ์ โดยระบุว่า "จากผลการสอบสวนและการเฝ้าระวังของ Fortinet ลูกค้าเพียงไม่กี่รายได้รับผลกระทบจากการโจมตีนี้" และ "เรากำลังอยู่ระหว่างการแจ้งให้องค์กรเหล่านั้นทราบ" โพสต์ดังกล่าวไม่ยืนยันจำนวนอุปกรณ์ 600 เครื่อง ไม่ได้ใช้จำนวนประเทศของ Amazon และไม่ได้ระบุชื่อผู้โจมตี

กรอบการนำเสนอของ Fortinet คือเทคนิคนี้มีมานานแล้ว แต่ระบบอัตโนมัติเป็นของใหม่: การสเปรย์รหัสผ่านกับอุปกรณ์เอดจ์ที่ได้รับการป้องกันอย่างไม่ดี ซึ่งขณะนี้ถูกขับเคลื่อนด้วยบทสนทนาที่อิงพรอมต์แบบไม่ต้องเขียนโค้ด โดยระบุว่าการโจมตีนี้ "จะเป็นไปไม่ได้เลยหากมีการใช้ MFA" และ "มีโอกาสสำเร็จน้อยมาก" หากเปิดใช้นโยบายความซับซ้อนของรหัสผ่าน นอกจากนี้ยังเผยแพร่ตัวบ่งชี้ ได้แก่ การเข้าถึงในฐานะผู้ดูแลระบบจาก 212[.]11.64[.]250 หรือ 185[.]196.11[.]225, การสร้างบัญชีชื่อ fortiuser, fortinet-support หรือ fortinet-tech-support, การกำหนดค่า VPN หรือผู้ใช้ VPN ที่ไม่คาดคิด และสคริปต์ที่ตั้งเวลาให้ทำงานเป็นกลไกคงอยู่ถาวร

นี่คือความแตกต่างในขอบเขต ไม่ใช่ข้อพิพาทว่าแคมเปญนั้นเกิดขึ้นจริงหรือไม่ ไม่มีผู้ใดที่ถูกระบุชื่อในบันทึกโต้แย้งการบุกรุกดังกล่าว คลังข้อมูลให้เกรด A โดยไม่มีสถานะว่ามีข้อโต้แย้ง และบันทึกถึงความเสียหายที่เกิดขึ้นจริง

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

ไม่มีการระบุ CVE และไม่มีแพตช์ เพราะไม่มีความเป็นช่องโหว่ การแก้ไขคือการกำหนดค่า และทั้งสององค์กรได้มาบรรจบกันที่รายการเดียวกัน Amazon กล่าวว่าได้แบ่งปันตัวบ่งชี้การถูกบุกรุกกับพันธมิตรที่เกี่ยวข้อง ร่วมมือกับพันธมิตรในอุตสาหกรรม และช่วยองค์กรต่าง ๆ ดำเนินการตามขั้นตอนที่ลดประสิทธิผลของผู้กระทำการ; รายงานไม่ได้ระบุจำนวนองค์กรที่ได้รับการแจ้งเตือน Fortinet กล่าวว่ากำลังแจ้งลูกค้าที่ได้รับผลกระทบโดยตรง

คำแนะนำทางเทคนิคมีความสอดคล้องกันในทั้งสองกรณี: ปิดการเข้าถึงระดับผู้ดูแลระบบจากอินเทอร์เฟซที่เชื่อมต่อกับอินเทอร์เน็ต และจัดการผ่านเส้นทางภายในหรือเส้นทางนอกแบนด์; บังคับใช้ MFA สำหรับการเข้าถึงระดับผู้ดูแลระบบและการเข้าถึง VPN; ใช้ความซับซ้อนของรหัสผ่าน; หมุนเวียนข้อมูลรับรอง SSL-VPN บนอุปกรณ์ใดก็ตามที่มีอินเทอร์เฟซการจัดการที่เข้าถึงได้หรืออาจเคยเข้าถึงได้; ตรวจสอบการใช้รหัสผ่านซ้ำระหว่างบัญชี FortiGate VPN และ Active Directory; และแยกโครงสร้างพื้นฐานการสำรองข้อมูลออกจากกัน แพตช์โครงสร้างพื้นฐานนั้น และเก็บสำเนาที่ไม่สามารถแก้ไขได้

สำหรับการตรวจจับ Amazon ชี้ไปที่กิจกรรม DCSync (Event ID 4662 พร้อม GUID ที่เกี่ยวข้องกับการจำลองแบบ), งานที่กำหนดเวลาใหม่ซึ่งตั้งชื่อเลียนแบบบริการ Windows ที่ถูกต้องตามกฎหมาย, การเชื่อมต่อการจัดการระยะไกลที่ผิดปกติจากกลุ่มที่อยู่ VPN, สิ่งตกค้างจากการโจมตีแบบ LLMNR และ NBT-NS poisoning และการเข้าถึงที่เก็บข้อมูลรับรองสำหรับการสำรองข้อมูลโดยไม่ได้รับอนุญาต นอกจากนี้ยังเตือนว่าการตรวจจับแบบอิงลายเซ็นมีประโยชน์จำกัดในกรณีนี้ เนื่องจากเครื่องมือถูกสร้างขึ้นจากยูทิลิตี้โอเพนซอร์สที่ถูกต้องตามกฎหมาย — Impacket, gogo, Nuclei — ซึ่งปรากฏในการทดสอบเจาะระบบตามปกติ

ทำไมสถิติ(N)นี้จึงเป็นหมุดหมายสำคัญ

คลังข้อมูลบันทึกว่านี่เป็นรายการสำคัญ และเหตุผลนั้นเห็นได้จากความแตกต่างระหว่างสิ่งที่ผู้กระทำบรรลุได้กับสิ่งที่ผู้กระทำสามารถทำได้ ผู้ปฏิบัติการเพียงคนเดียวหรือกลุ่มเล็กมาก ซึ่งได้รับการประเมินว่ามีทักษะระดับต่ำถึงปานกลาง ได้ดำเนินการบุกรุกแบบพร้อมกันในหลายสิบประเทศ ผลิตชุดเครื่องมือที่โดยปกติจะบ่งชี้ถึงทีมพัฒนา และสร้างแผนโจมตีเฉพาะเป้าหมายได้เร็วพอที่จะทำให้การบุกรุกหลายรายการดำเนินไปพร้อมกันได้

รายงานฉบับเดียวกันนี้ระบุเพดานขีดความสามารถไว้ ผู้โจมตีไม่สามารถคอมไพล์ exploit ที่เขียนขึ้นเอง ไม่สามารถดีบักความพยายามโจมตีที่ล้มเหลว และไม่สามารถด้นสดเมื่อแผนเผชิญกับเป้าหมายที่เสริมความแข็งแกร่ง — จึงเปลี่ยนไปทำอย่างอื่นแทนที่จะยืนหยัดพยายามต่อ โค้ดที่ AI สร้างขึ้นของมันพังเมื่อเจอกรณีขอบ บันทึกการปฏิบัติการของมันเป็นบันทึกของบริการที่ถูกแพตช์แล้วและพอร์ตที่ถูกปิด สิ่งที่โมเดลตัดออกไปคือแรงงาน ไม่ใช่วิจารณญาณ: การลาดตระเวน การแยกวิเคราะห์ การจัดทำเอกสาร และการวางแผนถูกทำให้เป็นอัตโนมัติ ส่วนที่ต้องอาศัยการปรับตัวยังคงอยู่นอกเหนือการเข้าถึง

นี่ก็เป็นเหตุผลว่าทำไมคำถามที่ยังไม่มีคำตอบจึงจืดชืดและเฉพาะเจาะจง จำนวนองค์กรที่ Fortinet แจ้งเตือนจริงจะช่วยคลี่คลายช่องว่างระหว่าง "ลูกค้าเพียงไม่กี่ราย" กับอุปกรณ์มากกว่า 600 เครื่อง การตรวจสอบไดเรกทอรี ARXON เป็นครั้งที่สองโดยเป็นอิสระจากนักวิจัยผู้ค้นพบมัน จะช่วยให้ได้ข้อสรุปว่าเครื่องมือนั้นคืออะไรและเรียกใช้โมเดลใดบ้าง จนกว่าจะถึงตอนนั้น บันทึกที่มีอยู่สนับสนุนข้อสรุปที่หนักแน่นเกี่ยวกับวิธีการ และข้อสรุปที่อ่อนกว่ามากเกี่ยวกับขนาด