亚马逊：AI 辅助的黑客在 5 周内入侵了 600 台 Fortinet 防火墙

Source: Bleeping Computer

Amazon 已警告称，一名讲俄语的威胁行为者在一次行动中使用了多种生成式 AI 服务，导致 超过 600 台 FortiGate 防火墙 在 55 个国家 短短五周内被攻破。

时间线与范围

• 活动期间： 2026 年 1 月 11 日 – 2026 年 2 月 18 日
• 地理覆盖范围： 南亚、拉丁美洲、加勒比海地区、西非、北欧、东南亚及其他地区。

攻击方法论

1. 目标选择 – 攻击者扫描了暴露的 FortiGate 管理接口。
2. 凭证滥用 – 利用没有多因素认证（MFA）的弱密码。
3. AI 辅助自动化 – 使用生成式 AI 工具编写脚本并加速在受损网络中向其他设备的横向移动。
4. 无零日漏洞利用 – 此次入侵仅依赖于配置错误和凭证弱点，而非任何 Fortinet 漏洞。

“受损的防火墙在多个地区被观察到，凸显了由 AI 自动化放大的简单凭证攻击的全球影响。” – CJ Moses，首席信息安全官，Amazon Integrated Security

该链接资源提供了一个面向 AI 的安全董事会报告模板。

基于 AI 的黑客行动

Amazon 在发现一台托管恶意工具的服务器后，确认了该行动，这些工具用于针对 Fortinet FortiGate 防火墙。

目标选择

• 威胁行为者扫描互联网，寻找在端口 443、8443、10443 和 4443 上暴露的 FortiGate 管理接口。
• 目标选择是机会主义的，而非特定行业。
• 行为者并未利用零日漏洞，而是依赖 暴力破解 常见密码。

入侵后的活动

一旦设备被攻陷，攻击者会提取其配置文件，其中包含：

• SSL‑VPN 用户凭据（可恢复的密码）
• 管理员凭据
• 防火墙策略和内部网络架构
• IPsec VPN 配置
• 网络拓扑和路由信息

这些配置文件使用 AI 辅助的 Python 和 Go 工具 进行解析和解密。

“在获得对受害者网络的 VPN 访问后，威胁行为者部署了自定义侦察工具，分别使用 Go 和 Python 编写不同版本，” Amazon 解释道。
“对源代码的分析显示出明显的 AI 辅助开发痕迹：冗余注释仅重复函数名、架构过于简陋且在格式化上投入远超功能实现、通过字符串匹配而非正规反序列化进行的简陋 JSON 解析，以及为语言内置函数提供的空文档存根兼容层。”
“虽然对威胁行为者的特定使用场景而言功能可用，但这些工具缺乏稳健性，在边缘案例下会失效——这正是未经大量改进的 AI 生成代码的典型特征。”

自动化侦察

这些工具实现了多项自动化任务：

• 分析路由表并按规模对网络进行分类
• 使用开源 gogo scanner 进行端口扫描
• 识别 SMB 主机和域控制器
• 使用 Nuclei 探测 HTTP 服务

研究人员指出，这些工具在加固环境中经常失效。

其他攻击向量

• 用 俄语 编写的 运营笔记 记录了使用 Meterpreter 和 Mimikatz 对 Windows 域控制器进行 DCSync 攻击，以及从 Active Directory 中提取 NTLM 哈希。
• 该行动还针对 Veeam Backup & Replication 服务器，使用自定义 PowerShell 脚本、编译的凭据提取工具，并尝试利用 Veeam 漏洞。

一台被攻陷的服务器（212.11.64.250）托管了名为 DecryptVeeamPasswords.ps1 的 PowerShell 脚本，用于收集 Veeam 备份凭据。

“威胁行为者常在部署勒索软件之前先攻击备份基础设施，以防止从备份中恢复被加密的文件，” Amazon 说明。

被利用的漏洞

• CVE‑2019‑7192 – QNAP 远程代码执行
• CVE‑2023‑27532 – Veeam 信息泄露
• CVE‑2024‑40711 – Veeam 远程代码执行

攻击者在面对已打补丁或已加固的系统时屡次失败，随后转向更易攻击的目标。

AI 的作用

Amazon 评估该威胁行为者的技能水平为 低至中等，但 被 AI 大幅放大。行为者使用了至少两个大型语言模型提供商来：

• 生成逐步攻击方法论
• 开发多语言自定义脚本
• 创建侦察框架
• 规划横向移动策略
• 起草运营文档

在一次案例中，行为者向 AI 服务提交了完整的内部受害网络拓扑（IP 地址、主机名、凭据、服务），请求帮助进一步在网络内部传播。

“该行动展示了商业 AI 服务如何降低威胁行为者的入门门槛，使其能够执行本应超出其技能范围的攻击，” Amazon 表示。

建议

1. 不要将 FortiGate 管理接口暴露到互联网。
2. 启用 MFA 为所有特权账户。
3. 确保 VPN 密码与 Active Directory 凭据不同。
4. 加固备份基础设施（限制访问，保持软件更新）。

相关发现

Google 最近报告称，威胁行为者在网络攻击的所有阶段滥用 Gemini AI，这与 Amazon 在本次行动中的观察相呼应。

IT 基础设施的未来已来

Read the guide →

现代 IT 基础设施的速度超过手动工作流的处理能力。

在这本新的 Tines 指南中，您将了解如何：

• 减少隐藏的手动延迟
• 通过自动响应提升可靠性
• 在您已使用的工具之上构建并扩展智能工作流