Rapport Amazon : L'IA générative (Generative AI) alimente une violation massive de plus de 600 pare-feu FortiGate dans le monde
Un nouveau rapport d'Amazon Threat Intelligence a révélé une évolution inquiétante de la cybercriminalité : un acteur de menace russophone a exploité des outils d'IA générative commerciaux pour compromettre plus de 600 pare-feu FortiGate dans 55 pays. La campagne, observée entre le 11 janvier et le 18 février 2026, illustre comment l'intelligence artificielle abaisse la barrière à l'entrée pour les attaquants, leur permettant de passer à l'échelle supérieure avec une efficacité industrielle.
Selon CJ Moses, Chief Information Security Officer (CISO) chez Amazon Integrated Security, l'attaquant a utilisé une « chaîne de montage alimentée par l'IA » pour automatiser des tâches complexes, du codage de scripts de reconnaissance à la planification de mouvements latéraux. Bien que l'acteur de menace ait fait preuve d'une sophistication technique limitée, l'utilisation de l'IA a agi comme un puissant multiplicateur de force, lui permettant de compromettre des infrastructures critiques sans s'appuyer sur des exploits avancés ou des vulnérabilités zero-day.
La chaîne de montage alimentée par l'IA
L'enquête d'Amazon met en évidence un changement critique dans le paysage des menaces. L'adversaire, identifié comme étant motivé par l'appât du gain plutôt que par un parrainage étatique, s'est fortement appuyé sur plusieurs plateformes d'IA générative commerciales. Ces outils ont été utilisés pour générer des scripts d'attaque, orchestrer l'exécution de commandes et même dépanner des erreurs pendant le processus d'intrusion.
Les chercheurs d'Amazon ont découvert une infrastructure accessible publiquement gérée par les attaquants qui hébergeait une mine d'artefacts générés par l'IA. Cela comprenait le code source d'outils de piratage personnalisés, des configurations réseau de victimes et des plans d'attaque détaillés. La dépendance à l'IA était si forte que lorsque l'outil d'IA principal était indisponible, l'attaquant passait sans problème à une plateforme secondaire pour poursuivre ses opérations.
Les outils de reconnaissance personnalisés, écrits en Go et en Python, portaient des marques distinctes de génération par IA. L'analyse du code source par Amazon a révélé des « commentaires redondants qui ne font que reformuler les noms de fonctions, une architecture simpliste avec un investissement disproportionné dans le formatage par rapport à la fonctionnalité, et une analyse JSON naïve ». Ces caractéristiques suggèrent que l'acteur manquait de prouesses en codage pour construire ces outils manuellement, mais a réussi à inciter un modèle d'IA à les construire selon ses spécifications.
Analyse technique : L'efficacité plutôt que la sophistication
Contrairement aux craintes de voir l'IA développer de nouveaux exploits zero-day, cette campagne a réussi grâce à une efficacité impitoyable ciblant des failles de sécurité fondamentales. L'acteur de menace n'a pas exploité de vulnérabilités logicielles FortiGate spécifiques. Au lieu de cela, il a procédé à une analyse automatisée massive des interfaces de gestion exposées sur les ports 443, 8443, 10443 et 4443.
Une fois une cible identifiée, l'acteur tentait de s'authentifier en utilisant des identifiants par défaut ou couramment réutilisés sur des appareils dépourvus d'authentification multi-facteurs (MFA). Si une cible s'avérait difficile — par exemple avec des services corrigés ou des ports fermés — l'attaquant passait simplement à la suivante, privilégiant les « proies faciles » à la persistance.
Observations techniques clés :
- Origine du scan : L'activité de scan massif provenait de l'adresse IP
212.11.64[.]250. - Vol d'identifiants : Les violations réussies ont permis l'extraction de configurations complètes d'appareils, y compris les identifiants SSL-VPN et les cartes de topologie réseau.
- Mouvement latéral : Les données volées ont été utilisées pour pivoter vers les réseaux internes, ciblant les environnements Active Directory et les infrastructures de sauvegarde.
- Vulnérabilités ciblées : Alors que l'accès initial reposait sur des identifiants faibles, les outils post-exploitation étaient conçus pour exploiter des vulnérabilités connues dans Veeam Backup & Replication, spécifiquement CVE-2023-27532 et CVE-2024-40711.
Impact mondial et indicateurs pré-ransomware
La portée de l'attaque était indiscriminée et agnostique quant au secteur, affectant des organisations en Asie du Sud, en Amérique latine, dans les Caraïbes, en Afrique de l'Ouest, en Europe du Nord et en Asie du Sud-Est. La nature étendue de la campagne indique une approche automatisée de type « arrosage large » dopée par le traitement de l'IA.
Amazon classe cette activité comme une opération de préparation pré-ransomware (pre-ransomware). Les attaquants se sont concentrés sur l'extraction de mots de passe administratifs, la cartographie du réseau et la compromission des systèmes de sauvegarde — des précurseurs classiques d'un déploiement de ransomware dévastateur. En compromettant les serveurs de sauvegarde Veeam, les acteurs avaient probablement l'intention de désactiver les options de récupération, augmentant ainsi le levier pour de futures demandes d'extorsion.
Analyse comparative : Opérations traditionnelles vs augmentées par l'IA
Le tableau suivant illustre comment l'intégration de l'IA générative a transformé les capacités de cet acteur de menace spécifique par rapport à un adversaire traditionnel peu qualifié.
Comparaison des capacités des adversaires
| Aspect opérationnel | Acteur traditionnel peu qualifié | Acteur de menace augmenté par l'IA (Observé) |
|---|---|---|
| Développement d'outils | S'appuie sur des scripts préexistants ; incapable de modifier le code. | Génère des outils Go/Python personnalisés via des prompts d'IA. |
| Échelle de l'attaque | Scan manuel ou automatisé lent. | Automatisation en « chaîne de montage » à travers 55 pays. |
| Adaptabilité | S'arrête lorsque les outils standards échouent. | Utilise l'IA pour dépanner et générer des commandes de secours. |
| Sélection de la cible | Souvent opportuniste mais inefficace. | Filtre rapidement les cibles « faciles » ; abandonne celles renforcées. |
| Post-exploitation | Difficultés avec le mouvement latéral. | L'IA aide à naviguer dans Active Directory et les sauvegardes. |
Implications pour la stratégie de cybersécurité
Cette campagne sert de signal d'alarme pour les organisations qui s'appuient sur la « sécurité par l'obscurité ». La capacité des acteurs peu qualifiés à faire évoluer les attaques à l'aide de l'IA signifie que les mauvaises configurations de base sont désormais des vulnérabilités qui seront découvertes et exploitées à la vitesse de la machine.
CJ Moses a souligné que les fondamentaux défensifs solides restent la contre-mesure la plus efficace. « Alors que nous prévoyons que cette tendance se poursuivra en 2026, les organisations doivent s'attendre à ce que l'activité de menace augmentée par l'IA continue de croître », a déclaré Moses.
Atténuations recommandées :
- Éliminer l'exposition : Assurez-vous que les interfaces de gestion FortiGate ne sont pas exposées à l'internet public.
- Appliquer la MFA : Implémentez immédiatement l'authentification multi-facteurs (MFA) pour tous les points d'accès VPN et administratifs.
- Gestion des correctifs : Mettez régulièrement à jour tous les appareils et logiciels de périmètre, en corrigeant spécifiquement les vulnérabilités connues comme celles de Veeam.
- Segmentation du réseau : Isolatez les serveurs de sauvegarde de l'accès général au réseau pour empêcher les acteurs de ransomware de paralyser les efforts de récupération.
À mesure que l'IA générative continue de mûrir, la distinction entre les pirates « qualifiés » et « non qualifiés » s'estompe. Cet incident confirme que l'IA n'est pas seulement un outil pour les défenseurs, mais un levier puissant pour les adversaires, capable de transformer un novice en une menace mondiale.
