Cách một tác nhân được tăng cường AI xâm nhập hơn 600 thiết bị FortiGate mà không cần khai thác lỗ hổng

Từ ngày 11 tháng 1 đến ngày 18 tháng 2 năm 2026, một tác nhân nói tiếng Nga, có động cơ tài chính, đã xâm phạm hơn 600 thiết bị tường lửa FortiGate tại hơn 55 quốc gia — và làm được điều đó mà không khai thác một lỗ hổng nào trong sản phẩm. Amazon Threat Intelligence, đơn vị đã công bố cuộc điều tra vào ngày 20 tháng 2 năm 2026, cho biết tác nhân này đã phát hiện các giao diện quản trị bị lộ ra internet trên các cổng 443, 8443, 10443 và 4443 và xâm nhập bằng những mật khẩu thường được dùng lại trên các tài khoản không có xác thực đa yếu tố. Các cấu hình thiết bị mà nó trích xuất chứa thông tin đăng nhập SSL-VPN với mật khẩu có thể khôi phục, thông tin đăng nhập quản trị viên, chính sách tường lửa và cấu trúc liên kết mạng. Các mô hình ngôn ngữ lớn thương mại đã được sử dụng xuyên suốt chiến dịch, viết công cụ trinh sát và phác thảo kế hoạch tấn công; theo lời kể của một nhà nghiên cứu riêng, người đã tìm thấy máy chủ của chính tác nhân, một mô hình còn được cấu hình để chạy các lệnh tấn công. Sự cố này là một mục trong the Orca AI Incident Archive, nơi lưu giữ hồ sơ đầy đủ, nguồn dẫn và xếp hạng của nó, cùng với các trường hợp lân cận trong loạt bài.

Những gì Amazon đã báo cáo và cách họ phát hiện ra

Báo cáo "Kẻ đe dọa được AI tăng cường truy cập thiết bị FortiGate trên quy mô lớn" được ghi tên tác giả là CJ Moses, CISO của Amazon Integrated Security, và được công bố trên AWS Security Blog vào ngày 20 tháng 2 năm 2026. Phát hiện thực chất đầu tiên của báo cáo mang tính phủ định: "Không quan sát thấy việc khai thác lỗ hổng FortiGate nào." Truy cập ban đầu hoàn toàn dựa trên thông tin xác thực trong suốt quá trình — quét có hệ thống các giao diện quản lý trên bốn cổng nêu trên, sau đó là các nỗ lực xác thực bằng thông tin xác thực thường được dùng lại.

Điều khiến chiến dịch bị lộ diện chính là hoạt động bảo mật vận hành của chính kẻ tấn công. Amazon cho biết họ đã xác định được hạ tầng lưu trữ bộ công cụ độc hại thông qua công tác tình báo mối đe dọa thường quy, và rằng cùng máy chủ đó chứa các kế hoạch tấn công do AI tạo ra, cấu hình nạn nhân và mã nguồn cho công cụ tùy chỉnh, được lưu trữ mà không mã hóa. Sơ suất đó đã cho Amazon cái nhìn gần như đầy đủ về phương pháp luận. “Nó giống như một dây chuyền lắp ráp được AI hỗ trợ cho tội phạm mạng,” báo cáo viết.

Các tệp cấu hình bị đánh cắp là bàn đạp từ thiết bị vào mạng phía sau nó. Theo Amazon, chúng chứa thông tin đăng nhập người dùng SSL-VPN với mật khẩu có thể khôi phục, thông tin đăng nhập quản trị, sơ đồ mạng và thông tin định tuyến đầy đủ, các chính sách tường lửa tiết lộ kiến trúc nội bộ, và cấu hình peer VPN IPsec. Kẻ tấn công đã viết các tập lệnh Python có AI hỗ trợ để phân tích cú pháp, giải mã và sắp xếp chúng.

Giai đoạn hậu khai thác, theo lời của chính Amazon

Sau khi xâm nhập được vào bên trong, kẻ tấn công đã đi theo một lộ trình tiêu chuẩn, được ghi chép kỹ lưỡng. Tài liệu vận hành của kẻ này, được viết bằng tiếng Nga, mô tả việc sử dụng Meterpreter với mô-đun mimikatz để chạy các cuộc tấn công DCSync nhắm vào bộ điều khiển miền và trích xuất các hàm băm mật khẩu NTLM từ Active Directory. Trong các vụ xâm nhập đã được xác nhận, kẻ tấn công đã lấy được cơ sở dữ liệu thông tin đăng nhập miền đầy đủ. Amazon lưu ý ít nhất một trường hợp trong đó tài khoản Domain Administrator sử dụng mật khẩu văn bản thuần túy, hoặc được dùng lại từ cấu hình FortiGate hoặc vốn đã yếu.

Từ đó, các kỹ thuật được ghi nhận là pass-the-hash và pass-the-ticket nhắm vào hạ tầng tiếp theo, NTLM relay sử dụng các công cụ poisoning tiêu chuẩn, và thực thi lệnh từ xa trên các máy chủ Windows. Kẻ tấn công đặc biệt nhắm vào các máy chủ Veeam Backup & Replication bằng script PowerShell, công cụ giải mã đã biên dịch và các nỗ lực khai thác lỗ hổng đã biết của Veeam — hành vi mà Amazon mô tả là "phù hợp với các hoạt động trước khi triển khai ransomware", mặc dù báo cáo không ghi nhận việc ransomware được triển khai.

Ghi chú của tác nhân đề cập đến một số CVE, bao gồm CVE-2019-7192, CVE-2023-27532 và CVE-2024-40711. BleepingComputer, đơn vị đưa tin về báo cáo vào ngày 21 tháng 2 năm 2026, xác định CVE đầu tiên là lỗ hổng thực thi mã từ xa của QNAP và hai CVE sau là các vấn đề của Veeam. Không có lỗ hổng nào trong số đó là con đường xâm nhập. Đáng nói hơn, cùng những ghi chú đó ghi nhận các thất bại lặp đi lặp lại: dịch vụ đã được vá, cổng đã đóng, các exploit không áp dụng cho hệ điều hành mục tiêu. Với một nạn nhân đã được xác nhận, đánh giá của chính tác nhân kết luận rằng cơ sở hạ tầng trọng yếu được "bảo vệ tốt" và "không có vectơ khai thác lỗ hổng nào".

Có hai giới hạn trong việc quy kết đáng được nêu rõ ràng. Amazon cho biết tác nhân này "không được biết là có liên hệ với bất kỳ nhóm mối đe dọa thường trực tinh vi nào có nguồn lực do nhà nước tài trợ", và rằng không quan sát thấy cơ sở hạ tầng AWS tham gia vào chiến dịch.

Nơi AI thực sự ngồi

Phần trình bày của Amazon về lớp AI nêu rõ vai trò nhưng không đề cập đến sản phẩm. Báo cáo cho biết đối tượng này đã sử dụng ít nhất hai nhà cung cấp LLM thương mại riêng biệt: một nhà cung cấp làm công cụ phát triển chính, công cụ lập kế hoạch tấn công và trợ lý vận hành, và nhà cung cấp thứ hai làm công cụ lập kế hoạch bổ sung khi đối tượng cần hỗ trợ xoay chuyển trong một mạng cụ thể. Trong một trường hợp được quan sát, đối tượng đã gửi toàn bộ cấu trúc liên kết nội bộ — địa chỉ IP, tên máy chủ, thông tin xác thực đã được xác nhận và các dịch vụ đã được nhận diện — và yêu cầu một kế hoạch từng bước để tiếp cận các hệ thống mà những công cụ hiện có của nó không thể chạm tới.

Bằng chứng của Amazon cho rằng bộ công cụ được viết bởi máy mang tính phong cách hơn là pháp chứng. Tài liệu này liệt kê các chú thích dư thừa chỉ nhắc lại tên hàm, một kiến trúc đầu tư nhiều vào định dạng đầu ra hơn là chức năng, JSON được phân tích cú pháp bằng khớp chuỗi thay vì giải tuần tự hóa đúng cách, và các lớp đệm tương thích với những stub tài liệu trống. Các công cụ này hoạt động cho trường hợp hẹp của tác nhân và thất bại ở các rìa. Amazon lưu ý rằng khối lượng này thông thường sẽ ngụ ý một nhóm phát triển; ở đây nó đến từ một tác nhân hoặc một nhóm rất nhỏ.

Điều mà báo cáo AWS không chứa là bất kỳ nhà cung cấp mô hình nào, bất kỳ tên sản phẩm nào và bất kỳ đề cập nào đến Model Context Protocol. Những điều đó xuất hiện trong một nghiên cứu thứ hai được công bố vào ngày hôm sau.

Máy chủ, và những cái tên mà Amazon không công bố

Vào ngày 21 tháng 2 năm 2026, blog bảo mật Cyber and Ramen đã công bố phân tích của riêng mình về một thư mục mở tại 212.11.64[.]250:9999, được lưu trữ trên AS4264 (Global-Data System IT Corporation, Zurich) — một trong hai địa chỉ mà Amazon liệt kê là hạ tầng của tác nhân đe dọa. Nhà nghiên cứu đếm được 1.402 tệp trên 139 thư mục con, bao gồm các bản sao lưu cấu hình FortiGate bị đánh cắp, dữ liệu ánh xạ Active Directory, các bản kết xuất thông tin đăng nhập, mẫu quét Nuclei và công cụ trích xuất thông tin đăng nhập Veeam, cùng hai thư mục được đặt tên theo Claude chứa hơn 200 tệp đầu ra tác vụ, diff phiên và trạng thái prompt được lưu đệm.

Hai thành phần tùy chỉnh được nêu tên trong phân tích đó. ARXON được mô tả là một máy chủ Model Context Protocol bằng Python, thu nạp thông tin trinh sát theo từng mục tiêu, gọi DeepSeek để tạo kế hoạch tấn công và duy trì một cơ sở tri thức lớn dần theo từng mục tiêu; nó cũng mang các tập lệnh để tạo hàng loạt tài khoản VPN FortiGate qua SSH và xác thực thông tin đăng nhập Domain Admin. CHECKER2 là một trình điều phối dựa trên Docker, viết bằng Go, dùng để quét VPN song song, với nhật ký cho thấy 2.516 mục tiêu trên 106 quốc gia. Nhà nghiên cứu nói rằng không thể tìm thấy bất kỳ tham chiếu công khai nào về cả hai công cụ, cho thấy cả hai đều được xây dựng cho chiến dịch này.

Cùng một phân tích mô tả một vụ lộ vào tháng 12 năm 2025 của chính máy chủ đó, lần này chứa một bản sao của HexStrike, một framework MCP tấn công mã nguồn mở, và một tệp cài đặt .claude đã phê duyệt trước để Claude Code chạy các công cụ Impacket, Metasploit và hashcat nhắm vào thông tin đăng nhập miền được mã hóa cứng thuộc về một nhân viên của một công ty truyền thông lớn ở châu Á. Theo nhà nghiên cứu, đến tháng Hai, tác nhân đã chuyển từ điểm khởi đầu mã nguồn mở đó sang ARXON và CHECKER2 — một quá trình tiến triển kéo dài khoảng tám tuần.

BleepingComputer đã chuyển tiếp những phát hiện này trong một bản cập nhật cho bài viết ngày 21 tháng 2 của mình. Sự khác biệt này rất quan trọng: ARXON, CHECKER2, DeepSeek và Claude Code là cách nhà nghiên cứu diễn giải các tệp, nhật ký và cài đặt trong một thư mục không được bảo vệ. Amazon, bên có quyền truy cập độc lập vào cùng cơ sở hạ tầng, không nêu tên bất kỳ mục nào trong số đó. Không nhà cung cấp mô hình nào đã xác nhận bất kỳ điều nào trong số đó.

Điều gì đã được xác lập, điều gì chỉ dựa trên một nguồn

Ba tuyên bố dựa trên hai bên độc lập. Bài đăng blog của chính Fortinet ngày 6 tháng 3 năm 2026, “Attacks at the Speed of AI”, nêu rằng Fortinet “không quan sát thấy việc khai thác các lỗ hổng FortiGate” và rằng chiến dịch đã thành công thông qua các cổng quản trị bị phơi lộ và thông tin đăng nhập yếu với xác thực một yếu tố, sử dụng password spraying. Điều đó củng cố cơ chế của Amazon từ phía nhà cung cấp, dù không bên nào đã xem bằng chứng được công bố của bên kia.

Chỉ riêng Amazon là nguồn cho quy mô — hơn 600 thiết bị, hơn 55 quốc gia, khoảng thời gian từ tháng 1 đến tháng 2 — và cho hồ sơ tác nhân: nói tiếng Nga, có động cơ tài chính, nền tảng kỹ thuật từ thấp đến trung bình, phụ thuộc nhiều vào AI, mức độ khai thác sau xâm nhập còn nông, bảo mật vận hành không đầy đủ. Không có bên thứ ba nào nhắc lại con số 600.

Chỉ riêng Cyber và Ramen là nguồn cho các công cụ được nêu tên, các nhà cung cấp mô hình, số lượng tệp và 2,516 mục tiêu quét. Các tài liệu bằng chứng của chính nó đã xác nhận các vụ xâm nhập tại một công ty khí công nghiệp ở châu Á - Thái Bình Dương, một nhà cung cấp viễn thông ở Thổ Nhĩ Kỳ và công ty truyền thông trong vụ phơi lộ hồi tháng 12, với hoạt động trinh sát đề cập đến Hàn Quốc, Ai Cập, Việt Nam và Kenya — một tập nạn nhân được xác nhận ở ít nhất năm quốc gia, còn kém xa 55 quốc gia mà Amazon viện dẫn. Hai con số đo những thứ khác nhau, và cả hai đều chưa được đối chiếu công khai.

Phản hồi của Fortinet và quy mô mà hãng không xác nhận

Bài đăng của Fortinet, do Carl Windsor thực hiện và đề ngày 6 tháng 3 năm 2026, đồng ý với Amazon về cơ chế nhưng khác biệt về quy mô. "Dựa trên điều tra và giám sát của Fortinet, một số ít khách hàng đã bị ảnh hưởng bởi cuộc tấn công này," bài đăng viết. "Chúng tôi đang trong quá trình thông báo cho các tổ chức đó." Bài đăng không xác nhận 600 thiết bị, không sử dụng số quốc gia của Amazon và không nêu tên tác nhân.

Cách lập luận của Fortinet là kỹ thuật này đã cũ còn khâu tự động hóa thì mới: password spraying nhắm vào các thiết bị biên được bảo vệ yếu, nay được điều khiển bằng các cuộc hội thoại dựa trên lời nhắc không cần viết mã. Họ tuyên bố rằng cuộc tấn công "sẽ là bất khả thi nếu có MFA" và "rất khó có khả năng thành công" nếu bật chính sách độ phức tạp mật khẩu. Họ cũng công bố các chỉ báo: quyền truy cập quản trị từ 212[.]11.64[.]250 hoặc 185[.]196.11[.]225, việc tạo các tài khoản có tên fortiuser, fortinet-support hoặc fortinet-tech-support, các cấu hình hoặc người dùng VPN bất thường, và các tập lệnh được lên lịch chạy như một cơ chế duy trì hiện diện.

Đây là sự khác biệt về phạm vi, không phải tranh chấp về việc chiến dịch có xảy ra hay không. Không ai được nêu tên trong hồ sơ phản đối sự xâm nhập; kho lưu trữ xếp nó hạng A, không có cờ tranh chấp và ghi nhận tổn hại thực tế.

Điều gì đã thay đổi sau đó?

Không có CVE và không có bản vá, vì không có lỗ hổng. Biện pháp khắc phục là cấu hình, và cả hai tổ chức đã thống nhất về cùng một danh sách. Amazon cho biết đã chia sẻ các chỉ báo xâm nhập với các đối tác liên quan, hợp tác với các đối tác trong ngành và giúp các tổ chức thực hiện các bước làm giảm hiệu quả của kẻ tấn công; báo cáo không đưa ra số lượng tổ chức được thông báo. Fortinet cho biết đang trực tiếp thông báo cho các khách hàng bị ảnh hưởng.

Hướng dẫn kỹ thuật là nhất quán ở cả hai: gỡ quyền truy cập quản trị khỏi các giao diện hướng Internet và quản lý qua một đường dẫn nội bộ hoặc ngoài băng; bắt buộc MFA đối với truy cập quản trị và VPN; áp dụng độ phức tạp mật khẩu; luân chuyển thông tin đăng nhập SSL-VPN trên mọi thiết bị có giao diện quản trị đã hoặc có thể đã bị truy cập tới; kiểm tra việc dùng lại mật khẩu giữa các tài khoản VPN FortiGate và Active Directory; và cô lập hạ tầng sao lưu, vá hạ tầng đó, đồng thời giữ các bản sao bất biến.

Để phát hiện, Amazon chỉ ra hoạt động DCSync (Event ID 4662 với các GUID liên quan đến sao chép), các tác vụ theo lịch mới được đặt tên bắt chước các dịch vụ Windows hợp pháp, các kết nối quản lý từ xa bất thường từ các dải địa chỉ VPN, các dấu vết đầu độc LLMNR và NBT-NS, và truy cập trái phép vào kho thông tin xác thực sao lưu. Công ty cũng cảnh báo rằng phát hiện dựa trên chữ ký có giá trị hạn chế trong trường hợp này, vì bộ công cụ được xây dựng từ các tiện ích mã nguồn mở hợp pháp — Impacket, gogo, Nuclei — vốn xuất hiện trong các bài kiểm thử xâm nhập thông thường.

Tại sao kỷ lục này lại là một cột mốc quan trọng

Hồ sơ lưu trữ đánh dấu đây là một mục mang tính bước ngoặt, và lý do có thể thấy rõ qua sự tương phản giữa những gì tác nhân đã đạt được và những gì tác nhân có thể làm. Một cá nhân vận hành duy nhất hoặc một nhóm rất nhỏ, được đánh giá ở trình độ thấp đến trung bình, đã tiến hành các vụ xâm nhập đồng thời trên hàng chục quốc gia, tạo ra một bộ công cụ mà thông thường sẽ ngụ ý phải có một đội phát triển, và tạo ra các kế hoạch tấn công riêng cho từng mục tiêu đủ nhanh để duy trì nhiều vụ xâm nhập cùng lúc.

Cùng một báo cáo đưa ra giới hạn trên. Tác nhân không thể biên dịch mã khai thác tùy chỉnh, không thể gỡ lỗi các nỗ lực khai thác thất bại và không thể ứng biến khi một kế hoạch gặp mục tiêu được gia cố — vì vậy nó chuyển sang mục tiêu khác thay vì kiên trì. Mã do AI tạo ra hỏng ở các tình huống biên. Các ghi chú vận hành của nó là bản ghi về những dịch vụ đã được vá và những cổng đã đóng. Những gì các mô hình loại bỏ là lao động, không phải phán đoán: trinh sát, phân tích cú pháp, tài liệu hóa và lập kế hoạch đã được tự động hóa; những phần đòi hỏi khả năng thích ứng vẫn nằm ngoài tầm với.

Đó cũng là lý do vì sao những câu hỏi mở lại nhàm chán và cụ thể. Việc Fortinet thực tế đã thông báo cho bao nhiêu tổ chức sẽ giải quyết khoảng cách giữa "một vài khách hàng" và hơn 600 thiết bị. Một lần kiểm tra thứ hai đối với thư mục ARXON, độc lập với nhà nghiên cứu đã phát hiện ra nó, sẽ giải quyết được công cụ đó là gì và nó đã gọi đến những mẫu nào. Cho đến lúc đó, bằng chứng hiện có ủng hộ một kết luận vững chắc về phương thức và một kết luận yếu hơn nhiều về quy mô.