AI增强的攻击者如何在不使用漏洞利用的情况下攻破600多台 FortiGate 设备

2026年1月11日至2月18日期间，一个讲俄语、以经济利益为动机的行为体攻陷了超过55个国家/地区的600多台FortiGate防火墙设备，而且未利用产品中的任何漏洞。Amazon Threat Intelligence于2026年2月20日发布调查，称该行为体发现管理接口在443、8443、10443和4443端口暴露于互联网，并利用未启用多因素认证的账户上常见的重复使用密码进入。其提取的设备配置包含带有可恢复密码的SSL-VPN凭据、管理员凭据、防火墙策略和网络拓扑。商业大语言模型贯穿整个行动，用于编写侦察工具和起草攻击计划；据一名发现该行为体自有服务器的独立研究员所述，其中一个模型还被配置为执行攻击性命令。这起事件是Orca AI Incident Archive中的一条记录，其中收录了完整记录、来源与评级，以及该系列中的相邻案例。

亚马逊报告了什么，以及它是如何发现的

该报告《AI增强的威胁行为者大规模访问FortiGate设备》由Amazon Integrated Security首席信息安全官CJ Moses撰写，于2026年2月20日发表在AWS Security Blog上。其首个实质性发现是一个否定性结论：“未观察到对FortiGate漏洞的利用。”整个过程的初始访问均基于凭据——先对上述四个端口上的管理接口进行系统性扫描，随后使用常见的重复使用凭据尝试身份验证。

让这次行动暴露出来的，是该行为者自身的操作安全疏漏。亚马逊表示，它通过常规威胁情报工作识别出了托管恶意工具的基础设施，并称同一台服务器上还存有 AI 生成的攻击计划、受害者配置以及定制工具的源代码，且均未加密存储。这一疏漏让亚马逊几乎完整掌握了其作案方法。报告称：“这就像一条由 AI 驱动的网络犯罪流水线。”

被盗的配置文件是从该设备转向其背后网络的跳板。据 Amazon 称，这些文件包含带有可恢复密码的 SSL-VPN 用户凭据、管理凭据、完整的网络拓扑和路由信息、会暴露内部架构的防火墙策略，以及 IPsec VPN 对等体配置。该行为体编写了 AI 辅助的 Python 脚本，以解析、解密和整理这些文件。

后利用，用亚马逊自己的话来说

一旦进入内部，攻击者便遵循了一条标准且有充分记录的路径。其用俄语编写的操作文档描述了如何使用 Meterpreter 搭配 mimikatz 模块，对域控制器发起 DCSync 攻击，并从 Active Directory 中提取 NTLM 密码哈希。在已确认的入侵事件中，它获取了完整的域凭据数据库。Amazon 指出，至少有一例中，Domain Administrator 账户使用的是明文密码，该密码要么是从 FortiGate 配置中复用的，要么其本身就较弱。

从那里开始，已记录的技术包括针对进一步基础设施的传递哈希（pass-the-hash）和传递票据（pass-the-ticket）、使用标准投毒工具的 NTLM 中继，以及在 Windows 主机上的远程命令执行。该行为体专门针对 Veeam Backup & Replication 服务器，使用 PowerShell 脚本、编译后的解密工具，并尝试利用已知的 Veeam 漏洞——亚马逊将这一行为描述为“与勒索软件部署前的操作相一致”，不过报告并未记录到勒索软件被部署。

攻击者的笔记提到了多个 CVE，包括 CVE-2019-7192、CVE-2023-27532 和 CVE-2024-40711。BleepingComputer 于 2026 年 2 月 21 日报道了该报告，并将第一个识别为 QNAP 远程代码执行漏洞，后两个识别为 Veeam 问题。这些都不是入侵途径。更能说明问题的是，同一份笔记记录了反复出现的失败：服务已打补丁、端口已关闭、漏洞利用不适用于目标操作系统。对于一名已确认的受害者，攻击者自己的评估结论是，关键基础设施“防护良好”，且“没有可利用的漏洞攻击向量”。

关于归因，有两点局限值得明确指出。亚马逊表示，该行为体“并不知晓与任何拥有国家资助资源的先进持续性威胁组织有关联”，并且未观察到 AWS 基础设施参与此次攻击活动。

AI 实际所在的位置

亚马逊对AI层的描述在角色分工上很具体，但对具体产品却只字未提。报告称，该行为体至少使用了两家不同的商业LLM提供商：一家作为主要工具开发者、攻击规划者和行动辅助者，另一家则在该行为体需要在特定网络内部进行横向转移时充当补充规划者。在观察到的一个实例中，该行为体提交了一份完整的内部拓扑——包括IP地址、主机名、已确认的凭据和已识别的服务——并要求提供一份分步计划，以触及现有工具无法接触的系统。

亚马逊认为这些工具由机器编写的证据是文体层面的，而非取证层面的。它列举了以下几类迹象：仅仅复述函数名的冗余注释；在输出格式化上的投入多于功能本身的架构；通过字符串匹配而非正规反序列化来解析的 JSON；以及附带空白文档存根的兼容性垫片。这些工具在行为体的狭窄用例中能够奏效，但在边缘情况下便会失效。亚马逊指出，这样的数量通常意味着背后有一个开发团队；而在这里，它却出自一个行为体或一个规模极小的团体。

AWS 的报告中不包含任何模型供应商、任何产品名称，也完全没有提及模型上下文协议（Model Context Protocol）。这些内容出现在次日发布的另一份研究中。

服务器，以及 Amazon 未公布的那些名称

2026年2月21日，安全博客 Cyber and Ramen 发布了自己对 212.11.64[.]250:9999 上一个开放目录的分析，该目录托管于 AS4264（Global-Data System IT Corporation，苏黎世）——这是 Amazon 列为威胁行为者基础设施的两个地址之一。研究人员在139个子目录中统计到1,402个文件，包括窃取的 FortiGate 配置备份、Active Directory 映射数据、凭据转储、Nuclei 扫描模板和 Veeam 凭据提取工具，另有两个以 Claude 命名的文件夹，内含超过200个文件的任务输出、会话差异和缓存提示状态。

该分析中提到了两个自定义组件。ARXON 被描述为一个 Python Model Context Protocol 服务器，它接收针对每个目标的侦察数据，调用 DeepSeek 生成攻击计划，并维护一个随每个目标不断增长的知识库；它还包含用于基于 SSH 批量创建 FortiGate VPN 账户以及验证 Domain Admin 凭据的脚本。CHECKER2 是一个基于 Go 和 Docker 的编排器，用于并行 VPN 扫描，日志显示其覆盖 106 个国家的 2,516 个目标。研究人员表示，找不到关于这两个工具的公开引用，表明两者都是为此次行动构建的。

同一份分析描述了同一台服务器在2025年12月的一次暴露事件，这次暴露的内容包括 HexStrike 的一个副本——一个开源攻击性 MCP 框架——以及一个 .claude 设置文件，该文件预先批准 Claude Code 使用硬编码的域凭据运行 Impacket 工具、Metasploit 和 hashcat，而这些凭据属于一家大型亚洲媒体公司的一名员工。研究者称，到2月，该行为体已从那个开源起点转向 ARXON 和 CHECKER2——这一进展过程大约历时八周。

BleepingComputer 在其 2 月 21 日报道的更新中转述了这些发现。这一区别很重要：ARXON、CHECKER2、DeepSeek 和 Claude Code 是研究人员对一个未受保护目录中的文件、日志和设置的解读。亚马逊曾独立访问同一基础设施，但没有点名其中任何一个。没有任何模型提供商证实其中任何内容。

哪些是已确立的，哪些仅依据单一来源

三项论断分别建立在两个独立当事方之上。Fortinet 自己于 2026 年 3 月 6 日发布的博客文章《以 AI 的速度发起攻击》中称，Fortinet“未观察到针对 FortiGate 漏洞的利用”，并称该活动之所以得手，是通过暴露的管理端口和采用单因素认证的弱凭据、借助密码喷洒实现的。这从厂商一侧印证了亚马逊所述的机制，而双方均未看到对方已公布的证据。

仅亚马逊一家是规模数据的来源——600 多台设备、55 多个国家、1 月至 2 月的时间窗口——也是该行为体画像的来源：讲俄语、出于经济动机、技术水平处于低到中等基线、高度依赖 AI、后渗透深度较浅、操作安全不足。尚无第三方复述过 600 这一数字。

仅 Cyber and Ramen 一项，就是点名工具、模型供应商、文件数量以及 2,516 个扫描目标的来源。其自身的证据文件确认了亚太地区一家工业气体公司、土耳其一家电信提供商以及 12 月曝光事件中那家媒体公司遭到入侵，相关侦察活动还提到韩国、埃及、越南和肯尼亚——已确认的受害者集合至少分布在五个国家，远少于 Amazon 引用的 55 个。这两个数字衡量的是不同事物，且二者均未在公开层面得到调和。

Fortinet 的回应，以及其未确认的规模

Fortinet由Carl Windsor撰写、日期为2026年3月6日的文章在机制上与亚马逊一致，但在规模上存在分歧。文中写道：“根据Fortinet的调查和监测，少数客户受到了此次攻击的影响。我们正在通知这些组织。”文章没有确认600台设备，没有采用亚马逊的国家数量，也没有点名攻击者。

Fortinet 的说法是，该技术本身并不新鲜，新的是自动化：针对防护薄弱的边缘设备进行密码喷洒，如今由无代码、基于提示词的对话驱动。它表示，如果部署了 MFA，这种攻击“本不可能发生”；如果启用了密码复杂度策略，则“极不可能成功”。它还公布了以下指标：来自 212[.]11.64[.]250 或 185[.]196.11[.]225 的管理员访问、创建名为 fortiuser、fortinet-support 或 fortinet-tech-support 的账户、意外的 VPN 配置或用户，以及计划运行以作为持久化机制的脚本。

这是范围上的分歧，而不是关于该行动是否发生的争议。记录中提及的无人对这次入侵提出异议；档案将其评为 A 级，没有争议标记，并记录了真实的损害。

之后发生了什么变化

没有 CVE，也没有补丁，因为根本不存在漏洞。修复措施是配置调整，两家机构最终得出的清单也完全一致。亚马逊表示，它与相关合作伙伴共享了入侵指标，与行业伙伴开展了协作，并帮助各组织采取措施，从而降低了该攻击者的有效性；报告未给出收到通知的组织数量。Fortinet 表示正在直接通知受影响的客户。

这两方面的技术指导是一致的：将管理访问从面向互联网的接口上移除，并通过内部或带外路径进行管理；对管理访问和 VPN 访问强制执行 MFA；实施密码复杂度要求；对任何管理接口曾可访问或可能曾被访问的设备轮换 SSL-VPN 凭据；审计 FortiGate VPN 账户与 Active Directory 之间是否存在密码重用；隔离备份基础设施，为其打补丁，并保留不可变副本。

在检测方面，Amazon 指出 DCSync 活动（事件 ID 4662，带有与复制相关的 GUID）、以模仿合法 Windows 服务命名的新计划任务、来自 VPN 地址池的异常远程管理连接、LLMNR 和 NBT-NS 投毒痕迹，以及未经授权访问备份凭据存储。它还警告说，基于签名的检测在这里价值有限，因为相关工具是由合法的开源实用程序构建的——Impacket、gogo、Nuclei——这些工具会出现在常规渗透测试中。

为什么这张唱片是一座里程碑

档案将其标记为里程碑式条目，原因在该行为体取得的成果与其能力之间的反差中清晰可见。一名单独操作员或极小型团伙，被评估为低至中等技能水平，却在数十个国家同时实施入侵，制作出一套通常意味着背后有开发团队的工具包，并生成了针对每个目标的攻击计划，其速度足以同时推进多起入侵。

同一份报告也给出了上限。该行为体无法编写自定义漏洞利用程序，无法调试失败的利用尝试，也无法在计划遇到加固目标时随机应变——因此它选择转向别处，而非持续攻坚。其AI生成的代码在边缘处失效。其行动记录只是一份已修补服务和已关闭端口的清单。模型所取代的是劳动，而非判断：侦察、解析、文档记录和规划都被自动化了；而需要随机应变的部分仍遥不可及。

这也是为什么那些悬而未决的问题显得乏味而具体。Fortinet 实际通知了多少家组织，将能厘清“少数客户”与超过 600 台设备之间的落差。对 ARXON 目录进行第二次检查，且独立于发现它的研究人员，将能确定那套工具究竟是什么，以及它调用了哪些型号。在那之前，现有记录足以就方法得出一个确凿结论，而就规模而言，结论则要弱得多。