Експерти Amazon повідомили про цільову кібератаку на мережеві екрани FortiGate, під час якої рускомовний зловмисник за п’ять тижнів скомпрометував понад 600 пристроїв у 55 країнах. Ключова особливість інциденту – системне використання генеративного ШІ та великих мовних моделей (LLM) не лише для написання інструментів, а й для планування подальших дій усередині скомпрометованих мереж.
Масштаб кібератаки на FortiGate та вибір цілей
За даними директора Amazon Integrated Security CJ Moses, кампанія тривала з 11 січня до 18 лютого 2026 року. Під удар потрапили організації в Південній Азії, Латинській Америці, Африці, Європі та інших регіонах. Спільною рисою жертв були відкриті з інтернету інтерфейси адміністрування FortiGate та відсутність надійних механізмів автентифікації.
Принципово важливо, що зловмисник не застосовував уразливості нульового дня чи складні експлойти. Атака спиралась на типову помилку конфігурації: публічний доступ до адміністративних панелей і слабкі паролі без багатофакторної автентифікації (MFA). Це цілком узгоджується з багаторічною статистикою провідних звітів з кібербезпеки, де переважна частина зламів починається саме з викрадення чи підбору облікових даних.
Як саме зламували FortiGate: відкриті порти та брутфорс VPN
Атакувальник сканував інтернет на наявність відкритих VPN‑ та адмін‑інтерфейсів FortiGate, приділяючи особливу увагу портам 443, 8443, 10443 та 4443. Після виявлення потенційних цілей він запускав брутфорс‑атаки – автоматизований перебір типових паролів до отримання доступу з правами адміністратора.
Після компрометації пристрою зловмисник вивантажував повну конфігурацію, включно з обліковими даними SSL‑VPN, паролями адміністраторів, політиками файрвола, топологією мережі, маршрутами та налаштуваннями IPsec VPN. Отримані дані оброблялись скриптами на Python і Go, значна частина яких була створена за допомогою LLM.
Роль генеративного ШІ та LLM у підготовці атаки
Аналіз інструментів показав характерні ознаки коду, згенерованого ШІ: надмірні коментарі, дубльовані назви функцій, надто спрощена архітектура, акцент на «красивому» форматуванні та примітивна робота з JSON через пошук рядків замість коректної десеріалізації. Частина допоміжних функцій була реалізована як порожні заглушки без документації.
Попри невисоку якість, цей код ефективно виконував свої завдання: автоматизував аналіз конфігурацій FortiGate, складання списків наступних цілей та підготовку даних для подальшого пересування мережею. Експерти Amazon оцінили технічний рівень зловмисника як низький або середній, але підкреслили, що генеративний ШІ істотно компенсував нестачу навичок та прискорив розвиток кампанії.
Латеральний рух: від VPN-доступу до домен‑контролерів і бекапів
Отримавши VPN‑доступ у мережу жертви, зловмисник розгортав кастомний розвідувальний інструмент у версіях на Go та Python. Операційна документація російською мовою описувала використання Meterpreter та mimikatz для проведення DCSync‑атак на контролери домену Windows та вилучення NTLM‑хешів із бази Active Directory.
Окремою ціллю стали сервери Veeam Backup & Replication — типовий об’єкт інтересу угруповань із розгортанням ransomware, які намагаються позбавити жертву резервних копій перед шифруванням даних. Хоча у публічному звіті Amazon не зафіксовано фінальний етап із розгортанням шифрувальника, послідовність дій повністю відповідає підготовці до такої атаки.
Інфраструктура зловмисника: ARXON, CHECKER2 та інтеграція з LLM
ARXON: «проксі» між вкраденими даними та LLM
Додаткові подробиці оприлюднив дослідник у блозі Cyber and Ramen, виявивши неправильно сконфігурований сервер атакувальника з 1402 файлами. Серед них були конфігурації FortiGate, карти Active Directory, дампи облікових записів, звіти про вразливості та документи з планами атак.
На сервері працював кастомний MCP‑сервер ARXON, який виконував роль проміжної ланки між викраденими даними та комерційними LLM (зокрема, DeepSeek і Claude). ARXON приймав інформацію зі зламаних пристроїв і формував структуровані запити та плани дій, фактично перетворюючи ШІ на «консультанта» з подальшого проникнення в мережу.
CHECKER2: масове сканування VPN FortiGate
Також було виявлено Go‑оркестратор CHECKER2 в Docker‑контейнері, призначений для паралельного сканування тисяч VPN‑цілей. Логи вказували на опрацювання понад 2500 об’єктів більш ніж у 100 країнах, що демонструє високий рівень автоматизації розвідки та масштаб потенційної атаки на FortiGate та інші VPN‑шлюзи.
Автономні дії LLM і нова реальність кіберзагроз
В окремих епізодах Claude Code був налаштований у режимі часткової автономності і самостійно запускав інструменти Impacket, Metasploit, hashcat та інші засоби без явного підтвердження оператора. В одному випадку зловмисник передав моделі повну топологію мережі жертви з IP‑адресами, іменами хостів і паролями, запитавши покроковий план бокового переміщення.
Це демонструє нову тенденцію: генеративний ШІ та LLM використовуються не лише для написання коду, а й для прийняття тактичних рішень у ході атаки. При цьому атакувальник зазвичай відмовлявся від спроб, коли стикався з добре захищеними або актуально оновленими системами, і переходив до більш вразливих цілей, що додатково підтверджує його обмежену експертизу.
Інцидент із FortiGate наочно показує, що навіть зловмисники з базовим рівнем підготовки здатні проводити глобальні кібератаки, спираючись на генеративний ШІ. Організаціям варто оперативно переглянути базову кібергігієну: закрити адміністраторські інтерфейси FortiGate з інтернету, увімкнути MFA для VPN і адмін‑облікових записів, регулярно змінювати паролі та оновлювати прошивки, сегментувати мережу й жорстко контролювати доступ до VPN та систем бекапу. Компанії, які вже зараз адаптують процеси захисту з урахуванням активного використання ШІ в атаках, суттєво зменшують вікно для компрометації та ймовірність руйнівних наслідків майбутніх інцидентів.
