AI 增強的攻擊者如何在未使用漏洞利用的情況下入侵 600 多台 FortiGate 設備

在 2026 年 1 月 11 日至 2 月 18 日期間，一名說俄語、出於財務動機的行為者入侵了逾 55 個國家、超過 600 台 FortiGate 防火牆設備，而且完全沒有利用產品中的任何一個漏洞。Amazon Threat Intelligence 於 2026 年 2 月 20 日發表這項調查，指出該行為者發現管理介面在 443、8443、10443 和 4443 埠上暴露於網際網路，並利用未啟用多重要素驗證的帳號上常見的重複使用密碼進入。它從設備中提取的組態含有可還原密碼的 SSL-VPN 憑證、管理員憑證、防火牆原則與網路拓撲。商業大型語言模型在整個行動中派上用場，用來撰寫偵察工具並起草攻擊計畫；根據另一名發現該行為者自有伺服器的研究人員所述，其中一個模型還被設定為可執行攻擊性指令。這起事件是Orca AI 事件檔案庫中的一筆紀錄，該檔案庫收錄完整紀錄、其資料來源與評級，以及系列中的相鄰案例。

Amazon 報告了什麼，以及它是如何發現的

這份名為「AI增強的威脅行為者大規模存取FortiGate設備」的報告，由Amazon Integrated Security的CISO CJ Moses撰寫，並於2026年2月20日發表在AWS Security Blog上。其第一項實質性發現是否定性的：「未觀察到對FortiGate漏洞的利用行為。」整個過程的初始存取均以憑證為基礎——系統性地掃描上述四個埠上的管理介面，隨後使用常見的重複使用憑證嘗試進行身分驗證。

讓這場行動曝光的是行為者自身的行動安全疏失。Amazon 表示，他們透過例行的威脅情報工作，識別出託管這些惡意工具的基礎設施，而且同一台伺服器上還存放著 AI 生成的攻擊計畫、受害者設定，以及客製化工具的原始碼，且全數未加密儲存。這項疏失讓 Amazon 得以近乎完整地掌握其作案手法。報告指出：「這就像是一條由 AI 驅動的網路犯罪組裝線。」

遭竊的設定檔是從該設備跳板進入其後方網路的樞紐。根據 Amazon 的說法，這些檔案包含可還原密碼的 SSL-VPN 使用者憑證、管理員憑證、完整的網路拓撲與路由資訊、會洩露內部架構的防火牆政策，以及 IPsec VPN 對等端設定。行為者撰寫了 AI 輔助的 Python 指令碼來解析、解密並整理這些檔案。

後滲透階段，用 Amazon 自己的話來說

進入後，該行為者遵循了一條標準且有詳盡記錄的路徑。其以俄文撰寫的操作文件描述使用 Meterpreter 搭配 mimikatz 模組，對網域控制站發動 DCSync 攻擊，並從 Active Directory 擷取 NTLM 密碼雜湊。在已確認的入侵事件中，它取得了完整的網域認證資料庫。Amazon 指出至少有一例，其中 Domain Administrator 帳戶使用了明文密碼，該密碼要麼是從 FortiGate 設定重複使用，要麼本身即為弱密碼。

從那裡開始，已記錄的技術包括針對更多基礎設施的 pass-the-hash 與 pass-the-ticket、使用標準投毒工具的 NTLM 中繼，以及在 Windows 主機上的遠端命令執行。該行為者特別以 PowerShell 腳本、編譯過的解密工具及嘗試利用已知 Veeam 漏洞來鎖定 Veeam Backup & Replication 伺服器——Amazon 形容此行為「與勒索軟體攻擊前的作業一致」，不過報告並未記錄有勒索軟體被部署。

攻擊者的筆記提到多個 CVE，包括 CVE-2019-7192、CVE-2023-27532 與 CVE-2024-40711。於 2026 年 2 月 21 日報導這份報告的 BleepingComputer 指出，第一個是 QNAP 的遠端程式碼執行漏洞，後兩個則是 Veeam 的問題。它們都不是入侵的途徑。更能說明問題的是，同一份筆記記錄了多次失敗：服務早已修補、連接埠已關閉、漏洞利用程式不適用於目標作業系統。針對一名已確認的受害者，攻擊者自己的評估結論是關鍵基礎設施「防護完善」，且「沒有可被利用的漏洞向量」。

關於歸因，有兩項限制值得明確說明。亞馬遜表示，該行為者「未知與任何擁有國家資助資源的進階持續性威脅組織有關」，且未觀察到 AWS 基礎設施涉入該行動。

AI 實際上坐在哪裡

亞馬遜對 AI 層級的說明在角色分工上相當具體，但對產品則隻字未提。報告指出，該行為者至少使用了兩家不同的商用大型語言模型（LLM）供應商：其中一家作為主要的工具開發者、攻擊規劃者與作業助理，另一家則在行為者需要協助於特定網路內部進行橫向移動時，作為輔助規劃者。在一次觀察到的案例中，該行為者提交了一份完整的內部拓撲——包括 IP 位址、主機名稱、已確認的憑證與已識別的服務——並要求提供一份逐步計畫，以觸及現有工具無法觸及的系統。

亞馬遜認為這些工具是由機器撰寫的證據，屬於風格上的而非鑑識上的。它列舉了多餘的註解，僅重述函式名稱；架構在輸出格式上的投入多於功能本身；JSON 是以字串比對而非適當的反序列化來解析；以及帶有空文件佔位的相容性墊片。這些工具在行為者的狹窄案例中可行，但在邊緣情況下失效。亞馬遜指出，這樣的數量通常意味著有一個開發團隊；但在這裡，它來自單一行為者或極小型的團體。

AWS 報告並未包含任何模型供應商、任何產品名稱，也未提及 Model Context Protocol。這些內容出現在隔天發表的第二份研究裡。

伺服器，以及 Amazon 未公布的名稱

2026 年 2 月 21 日，安全部落格 Cyber and Ramen 發表了對 212.11.64[.]250:9999 一個開放目錄的分析；該目錄託管於 AS4264（Global-Data System IT Corporation，蘇黎世），而這是 Amazon 列為威脅行為者基礎設施的兩個位址之一。研究人員在 139 個子目錄中計有 1,402 個檔案，包括遭竊的 FortiGate 組態備份、Active Directory 對應資料、憑證傾印、Nuclei 掃描範本與 Veeam 憑證擷取工具，另有兩個以 Claude 命名的資料夾，內含超過 200 個檔案，包含任務輸出、工作階段差異與快取提示狀態。

該分析中提到了兩個自訂元件。ARXON 被描述為一個 Python 模型上下文協定（Model Context Protocol）伺服器，會接收各目標的偵察資料、呼叫 DeepSeek 產生攻擊計畫，並維護一個隨每個目標而增長的知识库；它還附帶用於批次透過 SSH 建立 FortiGate VPN 帳號，以及驗證網域管理員（Domain Admin）憑證的腳本。CHECKER2 則是以 Go 撰寫、以 Docker 為基礎的協調器，用於平行 VPN 掃描，其日誌顯示涵蓋 106 個國家、共 2,516 個目標。研究人員表示，找不到任何關於這兩項工具的公開參考資料，顯示兩者都是為此次行動而打造。

同一份分析也描述了同一台伺服器在 2025 年 12 月的一次暴露事件，這次包含一份 HexStrike 的副本——這是一套開源攻擊性 MCP 框架——以及一個 .claude 設定檔，該檔案預先批准 Claude Code 使用 Impacket 工具、Metasploit 和 hashcat，針對硬編碼的網域憑證發動攻擊，而這些憑證屬於一家大型亞洲媒體公司的一名員工。研究人員表示，到了二月，該行為者已從那個開源起點轉向 ARXON 和 CHECKER2——這大約是八週的進展過程。

BleepingComputer 在其 2 月 21 日報導的更新中轉述了這些發現。這項區別很重要：ARXON、CHECKER2、DeepSeek 和 Claude Code 是該研究人員對一個未受保護目錄中檔案、日誌與設定的解讀。亞馬遜（Amazon）擁有對同一套基礎設施的獨立存取權限，卻未指名其中任何一個。沒有任何模型供應商證實其中任何一點。

哪些已經確立，哪些僅依據單一來源

三項主張分別建立在兩個獨立方之上。Fortinet 自己於 2026 年 3 月 6 日發表的部落格文章〈Attacks at the Speed of AI〉指出，Fortinet「未觀察到 FortiGate 漏洞遭到利用」，並表示該波行動之所以得逞，是透過暴露在外的管理連接埠，以及僅有單一因素驗證的弱憑證，並搭配密碼噴灑手法。這從廠商這一側印證了 Amazon 所描述的機制，而雙方其實都未曾看過對方所公布的證據。

僅 Amazon 是規模的來源——超過 600 台裝置、超過 55 個國家、1 月至 2 月的時間窗口——也是行為者輪廓的來源：說俄語、財務動機、技術基礎偏低至中等、高度依賴 AI、後滲透深度淺、作業安全不足。沒有任何第三方重述過 600 這個數字。

僅 Cyber and Ramen 本身就是具名工具、模型供應商、檔案數量與 2,516 個掃描目標的來源。其自身證據文件證實，亞太地區一家工業氣體公司、土耳其一家電信供應商，以及 12 月曝光事件中的媒體公司遭到入侵，偵察活動並提及韓國、埃及、越南與肯亞——已確認的受害者至少分布於五個國家，遠少於 Amazon 所引用的 55 個。這兩個數字衡量的是不同的事物，而兩者都尚未公開調和。

Fortinet 的回應，以及其未確認的規模

Fortinet 的文章由 Carl Windsor 撰寫、日期為 2026 年 3 月 6 日，在攻擊機制上與 Amazon 看法一致，但在規模上則有分歧。文中寫道：「根據 Fortinet 的調查與監控，有少數客戶受到這起攻擊影響。」「我們目前正在通知這些組織。」該文並未確認 600 台裝置，也未採用 Amazon 的國家數量，亦未指名攻擊者。

Fortinet 的說法是，該手法本身已存在已久，新穎之處在於自動化：針對防護薄弱的邊緣裝置發動密碼噴灑，如今由無程式碼、以提示詞為基礎的對話來驅動。Fortinet 表示，若部署了 MFA，這類攻擊「本不可能發生」，而若啟用了密碼複雜度原則，則「極不可能成功」。Fortinet 也公布了指標：從 212[.]11.64[.]250 或 185[.]196.11[.]225 進行管理員存取、建立名為 fortiuser、fortinet-support 或 fortinet-tech-support 的帳號、出現非預期的 VPN 設定或使用者，以及排程執行以作為持續潛伏機制的指令碼。

這是範圍上的分歧，而非對該行動是否真的發生過的爭議。紀錄中具名的任何人都未對這起入侵提出異議；檔案將其評為 A 級，沒有爭議標記，並記載了實際損害。

之後有什麼改變？

沒有 CVE，也沒有修補程式，因為並不存在漏洞。補救措施是組態設定，而兩個組織最終得出同一份清單。Amazon 表示，該公司與相關合作夥伴分享了入侵指標，與業界合作夥伴協作，並協助組織採取措施，降低該行為者的成效；報告未提供已通知組織的數量。Fortinet 表示，該公司正直接通知受影響的客戶。

兩者的技術指引一致：將管理存取從面向網際網路的介面上移除，並改由內部或帶外（out-of-band）路徑進行管理；對管理存取與 VPN 存取強制實施 MFA；套用密碼複雜度要求；對於任何其管理介面曾經或可能曾被觸及的設備，更換其 SSL-VPN 憑證；稽核 FortiGate VPN 帳號與 Active Directory 之間是否有重複使用密碼的情況；以及隔離備份基礎設施、為其修補更新，並保留不可變更的副本。

就偵測而言，Amazon 指向 DCSync 活動（事件 ID 4662，帶有與複寫相關的 GUID）、命名為模仿合法 Windows 服務的新排程工作、來自 VPN 位址集區的異常遠端管理連線、LLMNR 與 NBT-NS 毒化痕跡，以及未經授權存取備份憑證存放區。它同時警告，特徵碼式偵測在此處價值有限，因為這些工具是由合法的開源公用程式建構而成——Impacket、gogo、Nuclei——它們會出現在一般滲透測試中。

為什麼這張唱片是一個里程碑

檔案將此標記為里程碑式的條目，而箇中原因，從該行為者所達成的事與其本身能力之間的對比即可清楚看出。一名單獨的操作者或極小的團隊，被評估為中低技能水準，卻在數十個國家同時進行入侵，製作出通常意味著需要一整個開發團隊才能打造的工具組，並以足以讓數起入侵行動同時推進的速度，產生針對各個目標的攻擊計畫。

同一份報告也標出了上限。該行為者無法自行編譯客製化的漏洞利用程式、無法對失敗的利用嘗試進行除錯，也無法在計畫碰上加固過的目標時隨機應變——因此它選擇轉移陣地，而非堅持下去。其 AI 生成的程式碼在邊界情境下就會失效。它的作戰筆記滿是已修補的服務與已關閉的連接埠紀錄。模型所取代的是人力，而非判斷力：偵察、解析、文件記錄與規劃都被自動化了；需要隨機應變的部分仍舊遙不可及。

這也是為什麼這些未解問題既枯燥又具體。Fortinet 實際通知了多少組織，將能釐清「少數客戶」與超過 600 台裝置之間的落差。由發現該目錄的研究人員之外的人獨立再次檢查 ARXON 目錄，將能確定所用工具為何，以及它呼叫了哪些模型。在那之前，現有紀錄足以對方法作出明確結論，但對規模的結論則薄弱得多。