Avertismentul Amazon despre hackerul rus care s-a folosit de inteligență artificială în atacurile sale

Inteligența artificială nu mai este doar un instrument pentru companii și dezvoltatori. În 2026, devine oficial un multiplicator de forță și pentru atacatorii cibernetici.

Un nou raport arată cum un actor vorbitor de limbă rusă a reușit să compromită peste 600 de firewall-uri FortiGate din 55 de țări în doar cinci săptămâni, folosind servicii comerciale de AI generativ pentru a-și automatiza operațiunile, scrie Bleeping  Computer.

Campania, analizată de Amazon, s-a desfășurat între 11 ianuarie și 18 februarie 2026 și, surprinzător, nu a implicat exploatarea unor vulnerabilități zero-day. În schimb, atacatorul a vizat interfețe de administrare expuse direct pe internet și conturi protejate slab, fără autentificare multifactor (MFA).

Fără exploit-uri sofisticate, dar cu AI ca „accelerator”

Potrivit raportului coordonat de CJ Moses, CISO al diviziei Amazon Integrated Security, atacurile au fost oportuniste.

Hackerul a scanat internetul pentru interfețe FortiGate accesibile pe porturi precum 443, 8443 sau 10443 și a folosit atacuri de tip brute-force cu parole comune pentru a obține acces.

Odată compromis un dispozitiv Fortinet, atacatorul extrăgea fișierele de configurare. Acestea conțineau informații extrem de sensibile: credențiale SSL-VPN, parole administrative, politici de firewall, configurații IPsec, topologii de rețea și detalii despre rutare.

Elementul diferențiator? Utilizarea unor instrumente dezvoltate cu ajutorul modelelor lingvistice mari (LLM). Codul analizat prezenta semne clare de generare asistată de AI: comentarii redundante, arhitectură simplistă, parsare JSON rudimentară și lipsă de robustețe în situații-limită. Funcțional, dar departe de a fi rafinat.

Vezi și:

Un faimos dezvoltator de jocuri avertizează: folosirea excesivă a inteligenței artificiale în programare poate afecta creativitatea

Când cina devine coșmar: valul de clipuri AI cu „mâncare torturată” care sufocă internetul

Cu ajutorul unor tool-uri scrise în Go și Python, atacatorul automatiza recunoașterea rețelelor compromise: analiza tabele de rutare, clasifica subrețelele, scana porturi cu utilitare open-source și identifica servere SMB sau controlere de domeniu. De asemenea, folosea Nuclei pentru identificarea serviciilor HTTP vulnerabile.

AI integrat direct în infrastructura de atac

Investigații suplimentare publicate pe blogul Cyber and Ramen au scos la iveală detalii și mai interesante. Un server configurat greșit (212.11.64.250) expunea peste 1.400 de fișiere, inclusiv backup-uri FortiGate furate, dump-uri de credențiale, hărți Active Directory și documente de planificare a atacurilor.

Printre ele se afla un server MCP personalizat numit ARXON, un intermediar între datele colectate din rețelele compromise și modele comerciale de AI. Practic, datele de recunoaștere erau introduse în sistem, care interoga modele precum Claude și DeepSeek pentru a genera planuri structurate de atac.

Aceste planuri includeau pași pentru obținerea privilegiilor de Domain Admin, recomandări privind locațiile unde pot fi găsite credențiale și sugestii pentru mișcare laterală în rețea. În unele cazuri, Claude Code era configurat să execute automat instrumente ofensive precum Impacket, module Metasploit sau hashcat, fără aprobare manuală pentru fiecare comandă.

Un alt instrument, CHECKER2, era un orchestrator Docker folosit pentru scanarea paralelă a mii de ținte VPN. Logurile indicau peste 2.500 de potențiale ținte din peste 100 de țări.

Deși Amazon evaluează nivelul tehnic al atacatorului drept scăzut spre mediu, utilizarea AI a amplificat semnificativ capacitatea acestuia. Modelele lingvistice au fost folosite pentru generarea de metodologii pas cu pas, dezvoltare de scripturi, documentație operațională și strategii de mișcare laterală.

Campania a inclus și tentative de exploatare a infrastructurii de backup, în special servere Veeam, o tactică frecventă înaintea lansării unui atac ransomware, pentru a împiedica restaurarea datelor.

Concluzia este clară: AI generativ reduce bariera de intrare pentru atacuri complexe. Nu mai este nevoie de expertiză avansată pentru a orchestra operațiuni sofisticate la scară globală.

Recomandările pentru administratori sunt directe: nu expuneți interfețele de management pe internet, activați MFA, evitați reutilizarea parolelor VPN pentru conturile Active Directory și securizați infrastructura de backup.

Criza memoriei RAM ar putea schimba modul în care sunt dezvoltate jocurile video