Relatório da Amazon: IA Generativa (GenAI) impulsiona violação massiva de mais de 600 firewalls FortiGate em todo o mundo
Um novo relatório da Amazon Threat Intelligence revelou uma evolução perturbadora no cibercrime: um ator de ameaça de língua russa aproveitou ferramentas comerciais de IA generativa para invadir mais de 600 firewalls FortiGate em 55 países. A campanha, observada entre 11 de janeiro e 18 de fevereiro de 2026, exemplifica como a inteligência artificial está a reduzir a barreira de entrada para os atacantes, permitindo-lhes escalar operações com eficiência industrial.
De acordo com CJ Moses, Chief Information Security Officer (CISO) na Amazon Integrated Security, o atacante utilizou uma "linha de montagem alimentada por IA" para automatizar tarefas complexas, desde a programação de scripts de reconhecimento até ao planeamento de movimentos laterais. Embora o ator de ameaça tenha demonstrado uma sofisticação técnica limitada, o uso da IA atuou como um potente multiplicador de força, permitindo-lhes comprometer infraestruturas críticas sem depender de explorações avançadas ou vulnerabilidades de dia zero (zero-day).
A Linha de Montagem Alimentada por IA
A investigação da Amazon destaca uma mudança crítica no panorama de ameaças. O adversário, identificado como sendo motivado financeiramente e não patrocinado por um Estado, dependeu fortemente de múltiplas plataformas comerciais de IA generativa (generative AI). Estas ferramentas foram utilizadas para gerar scripts de ataque, orquestrar a execução de comandos e até para a resolução de problemas (troubleshooting) de erros durante o processo de intrusão.
Os investigadores da Amazon descobriram uma infraestrutura acessível publicamente gerida pelos atacantes que alojava um tesouro de artefactos gerados por IA. Isto incluía código-fonte para ferramentas de hacking personalizadas, configurações de rede de vítimas e planos de ataque detalhados. A dependência da IA era tão forte que, quando a ferramenta de IA principal estava indisponível, o atacante mudava perfeitamente para uma plataforma secundária para continuar as operações.
As ferramentas de reconhecimento personalizadas, escritas em Go e Python, apresentavam marcas distintas de geração por IA. A análise da Amazon ao código-fonte revelou "comentários redundantes que meramente reafirmam nomes de funções, arquitetura simplista com investimento desproporcional na formatação em detrimento da funcionalidade e análise JSON ingénua". Estas características sugerem que o ator carecia da destreza de programação para construir estas ferramentas manualmente, mas conseguiu instruir com sucesso um modelo de IA para as construir de acordo com as especificações.
Análise Técnica: Eficiência sobre Sofisticação
Ao contrário dos receios de que a IA desenvolva novas explorações de dia zero, esta campanha teve sucesso através de uma eficiência implacável visando falhas de segurança fundamentais. O ator de ameaça não explorou vulnerabilidades de software específicas do FortiGate. Em vez disso, realizou varrimentos automatizados em massa para interfaces de gestão expostas nas portas 443, 8443, 10443 e 4443.
Assim que um alvo era identificado, o ator tentava autenticar-se utilizando credenciais padrão ou comummente reutilizadas em dispositivos que careciam de autenticação multifator (MFA). Se um alvo se revelasse difícil — como ter serviços corrigidos ou portas fechadas — o atacante simplesmente seguia em frente, priorizando "alvos fáceis" em vez da persistência.
Principais Observações Técnicas:
- Origem do Varrimento: A atividade de varrimento em massa teve origem no endereço IP
212.11.64[.]250. - Roubo de Credenciais: As violações bem-sucedidas permitiram a extração de configurações completas de dispositivos, incluindo credenciais de SSL-VPN e mapas de topologia de rede.
- Movimento Lateral: Os dados roubados foram utilizados para pivotar para redes internas, visando ambientes de Active Directory e infraestruturas de cópia de segurança (backup).
- Vulnerabilidades Alvo: Embora o acesso inicial tenha dependido de credenciais fracas, as ferramentas de pós-exploração foram concebidas para explorar vulnerabilidades conhecidas no Veeam Backup & Replication, especificamente CVE-2023-27532 e CVE-2024-40711.
Impacto Global e Indicadores de Pré-Ransomware
O âmbito do ataque foi indiscriminado e agnóstico em relação ao setor, afetando organizações no Sul da Ásia, América Latina, Caraíbas, África Ocidental, Norte da Europa e Sudeste Asiático. A natureza generalizada da campanha indica uma abordagem automatizada de "disparar e rezar" (spray and pray) potenciada pelo processamento de IA.
A Amazon classifica esta atividade como uma operação de preparação de pré-ransomware (pre-ransomware). Os atacantes focaram-se na extração de palavras-passe administrativas, mapeamento da rede e comprometimento de sistemas de backup — precursores clássicos de uma implementação devastadora de ransomware. Ao comprometer os servidores de backup da Veeam, os atores provavelmente pretendiam desativar as opções de recuperação, aumentando assim a influência para futuras exigências de extorsão.
Análise Comparativa: Operações Tradicionais vs. Aumentadas por IA
A tabela seguinte ilustra como a integração da IA Generativa transformou as capacidades deste ator de ameaça específico em comparação com um adversário tradicional de baixa qualificação.
Comparação de Capacidades do Adversário
| Aspeto Operacional | Ator Tradicional de Baixa Qualificação | Ator de Ameaça Aumentado por IA (Observado) |
|---|---|---|
| Desenvolvimento de Ferramentas | Depende de scripts pré-existentes; incapaz de modificar código. | Gera ferramentas Go/Python personalizadas através de comandos de IA. |
| Escala de Ataque | Varrimento manual ou automatizado lento. | Automação em "linha de montagem" em 55 países. |
| Adaptabilidade | Paralisa quando as ferramentas padrão falham. | Utiliza IA para resolver problemas e gerar comandos alternativos. |
| Seleção de Alvos | Frequentemente oportunista mas ineficiente. | Filtra rapidamente alvos "fáceis"; abandona os protegidos. |
| Pós-Exploração | Tem dificuldades com o movimento lateral. | IA auxilia na navegação pelo Active Directory e backups. |
Implicações para a Estratégia de Cibersegurança
Esta campanha serve como um alerta para as organizações que dependem da "segurança através da obscuridade". A capacidade de atores de baixa qualificação escalarem ataques utilizando IA significa que as configurações incorretas básicas são agora vulnerabilidades que serão descobertas e exploradas à velocidade das máquinas.
CJ Moses enfatizou que os fundamentos defensivos robustos continuam a ser a contramedida mais eficaz. "Como esperamos que esta tendência continue em 2026, as organizações devem antecipar que a atividade de ameaça aumentada por IA continuará a crescer", afirmou Moses.
Mitigações Recomendadas:
- Eliminar a Exposição: Garantir que as interfaces de gestão do FortiGate não estão expostas à internet pública.
- Impor MFA: Implementar imediatamente a autenticação multifator para todos os pontos de acesso VPN e administrativos.
- Gestão de Patches: Atualizar regularmente todos os dispositivos e software de perímetro, corrigindo especificamente vulnerabilidades conhecidas como as da Veeam.
- Segmentação de Rede: Isolar os servidores de backup do acesso geral à rede para evitar que os atores de ransomware paralisem os esforços de recuperação.
À medida que a IA Generativa continua a amadurecer, a distinção entre hackers "qualificados" e "não qualificados" está a tornar-se ténue. Este incidente confirma que a IA não é apenas uma ferramenta para os defensores, mas uma alavanca potente para os adversários, capaz de transformar um novato numa ameaça global.
