Er is waargenomen dat een Russisch sprekende, financieel gemotiveerde bedreigingsacteur misbruik maakt van commerciële generatieve kunstmatige intelligentie (AI)-diensten om meer dan 600 FortiGate-apparaten in 55 landen in gevaar te brengen.
Dat blijkt uit nieuwe bevindingen van Amazon Threat Intelligence, die zegt dat het de activiteit tussen 11 januari en 18 februari 2026 heeft waargenomen.
“Er werd geen misbruik van FortiGate-kwetsbaarheden waargenomen. In plaats daarvan slaagde deze campagne door het exploiteren van blootgestelde managementpoorten en zwakke inloggegevens met single-factor authenticatie, fundamentele beveiligingslacunes die AI een onervaren speler hielp om op grote schaal te exploiteren”, zegt CJ Moses, Chief Information Security Officer (CISO) van Amazon Integrated Security, in een rapport.
De technologiegigant beschreef de bedreigingsacteur als iemand met beperkte technische mogelijkheden, een beperking die ze overwonnen door te vertrouwen op meerdere commerciële generatieve AI-tools om verschillende fasen van de aanvalscyclus te implementeren, zoals toolontwikkeling, aanvalsplanning en commandogeneratie.
Hoewel één AI-tool de primaire ruggengraat van de operatie vormde, vertrouwden de aanvallers ook op een tweede AI-tool als reserve om te helpen bij het draaien binnen een specifiek gecompromitteerd netwerk. De namen van de AI-tools zijn niet bekendgemaakt.
De dreigingsactor wordt geacht te worden gedreven door financieel gewin en niet geassocieerd te zijn met enige geavanceerde persistente dreiging (APT) met door de staat gesponsorde middelen. Zoals onlangs door Google is benadrukt, worden generatieve AI-tools steeds vaker door bedreigingsactoren geadopteerd om hun activiteiten op te schalen en te versnellen, zelfs als ze hen niet uitrusten met nieuwe toepassingen van de technologie.
De opkomst van AI-instrumenten illustreert in ieder geval hoe capaciteiten die ooit verboden terrein waren voor beginnende of technisch onderlegde dreigingsactoren steeds haalbaarder worden, waardoor de toegangsdrempel voor cybercriminaliteit verder wordt verlaagd en hen in staat wordt gesteld aanvalsmethoden te bedenken.
“Ze zijn waarschijnlijk een financieel gemotiveerd individu of een kleine groep die, door middel van AI-augmentatie, een operationele schaal hebben bereikt waarvoor voorheen een aanzienlijk groter en vaardiger team nodig zou zijn geweest”, zei Moses.
Uit Amazon’s onderzoek naar de activiteiten van de bedreigingsactoren is gebleken dat ze met succes de Active Directory-omgevingen van meerdere organisaties hebben gecompromitteerd, volledige gegevensdatabases hebben geëxtraheerd en zelfs een gerichte back-upinfrastructuur hebben ingezet, waarschijnlijk in de aanloop naar de implementatie van ransomware.
Wat hier interessant is, is dat in plaats van manieren te bedenken om te volharden in verharde omgevingen of omgevingen waarin gebruik werd gemaakt van geavanceerde beveiligingscontroles, de dreigingsactoren ervoor kozen om het doelwit helemaal te laten vallen en naar een relatief zachter slachtoffer te verhuizen. Dit duidt op het gebruik van AI als een manier om hun vaardighedenkloof te overbruggen, zodat ze gemakkelijk kunnen kiezen.
Amazon zei dat het een publiek toegankelijke infrastructuur heeft geïdentificeerd die wordt beheerd door de aanvallers en waarop verschillende artefacten zijn gehost die relevant zijn voor de campagne. Dit omvatte door AI gegenereerde aanvalsplannen, slachtofferconfiguraties en broncode voor aangepaste tools. De hele modus operandi lijkt op een “AI-aangedreven lopende band voor cybercriminaliteit”, voegde het bedrijf eraan toe.
In de kern stelden de aanvallen de bedreigingsacteur in staat FortiGate-appliances binnen te dringen, waardoor hij volledige apparaatconfiguraties kon extraheren die het op zijn beurt mogelijk maakten om inloggegevens, netwerktopologie-informatie en apparaatconfiguratie-informatie te verzamelen.
Dit omvatte het systematisch scannen van FortiGate-beheerinterfaces die via de poorten 443, 8443, 10443 en 4443 aan het internet waren blootgesteld, gevolgd door pogingen tot authenticatie met behulp van vaak hergebruikte inloggegevens. De activiteit was sectoronafhankelijk, wat wijst op geautomatiseerde massascans voor kwetsbare apparaten. De scans waren afkomstig van het IP-adres 212.11.64(.)250.
De gestolen gegevens werden vervolgens gebruikt om dieper in gerichte netwerken te graven en post-exploitatieactiviteiten uit te voeren, waaronder verkenning voor het scannen van kwetsbaarheden met behulp van Nuclei, Active Directory-compromis, het verzamelen van inloggegevens en pogingen om toegang te krijgen tot de back-upinfrastructuur die aansluit bij typische ransomware-operaties.
Uit gegevens verzameld door Amazon blijkt dat de scanactiviteit resulteerde in een compromis op organisatieniveau, waardoor toegang werd verkregen tot meerdere FortiGate-apparaten die tot dezelfde entiteit behoorden. De aangetaste clusters zijn gedetecteerd in Zuid-Azië, Latijns-Amerika, het Caribisch gebied, West-Afrika, Noord-Europa en Zuidoost-Azië.
“Na VPN-toegang tot slachtoffernetwerken zet de bedreigingsacteur een aangepaste verkenningstool in, met verschillende versies geschreven in zowel Go als Python”, aldus het bedrijf.
“Analyse van de broncode onthult duidelijke indicatoren van AI-ondersteunde ontwikkeling: overbodige opmerkingen die alleen maar functienamen herhalen, simplistische architectuur met onevenredige investeringen in opmaak boven functionaliteit, naïeve JSON-parsing via stringmatching in plaats van goede deserialisatie, en compatibiliteitsshims voor ingebouwde talen met lege documentatiestubs.”
Enkele van de andere stappen die de bedreigingsacteur na de verkenningsfase heeft ondernomen, worden hieronder opgesomd:
- Bereik domeincompromis via DCSync-aanvallen.
- Verplaats u zijwaarts over het netwerk via pass-the-hash/pass-the-ticket-aanvallen, NTLM-relay-aanvallen en uitvoering van externe opdrachten op Windows-hosts.
- Richt u op Veeam Backup & Replication-servers om tools en programma’s voor het verzamelen van referenties in te zetten die gericht zijn op het misbruiken van bekende Veeam-kwetsbaarheden (bijvoorbeeld CVE-2023-27532 en CVE-2024-40711).
Een andere opmerkelijke bevinding is het patroon van de bedreigingsactoren waarbij ze herhaaldelijk op mislukkingen stuiten wanneer ze iets proberen te misbruiken dat verder gaat dan de ‘meest eenvoudige, geautomatiseerde aanvalspaden’, waarbij in hun eigen documentatie wordt vastgelegd dat de doelwitten de services hadden gepatcht, de vereiste poorten hadden gesloten of geen kwetsbare exploitatievectoren hadden.
Nu Fortinet-apparaten een aantrekkelijk doelwit worden voor bedreigingsactoren, is het essentieel dat organisaties ervoor zorgen dat beheerinterfaces niet worden blootgesteld aan internet, standaard- en algemene inloggegevens wijzigen, SSL-VPN-gebruikersgegevens roteren, multi-factor authenticatie implementeren voor administratieve en VPN-toegang, en controleren op ongeautoriseerde beheerdersaccounts of verbindingen.
Het is ook essentieel om back-upservers te isoleren van algemene netwerktoegang, ervoor te zorgen dat alle softwareprogramma’s up-to-date zijn en te controleren op onbedoelde netwerkblootstelling.
“Aangezien we verwachten dat deze trend zich in 2026 zal voortzetten, moeten organisaties erop anticiperen dat de door AI versterkte dreigingsactiviteit in volume zal blijven groeien, zowel door ervaren als ongeschoolde tegenstanders”, aldus Moses. “Sterke defensieve fundamenten blijven de meest effectieve tegenmaatregel: patchbeheer voor perimeterapparatuur, identificatiehygiëne, netwerksegmentatie en robuuste detectie van post-exploitatie-indicatoren.”
