Relatório da Amazon: IA Generativa (GenAI) impulsiona violação massiva de mais de 600 firewalls FortiGate em todo o mundo

Um novo relatório da Amazon Threat Intelligence revelou uma evolução perturbadora no cibercrime: um ator de ameaça de língua russa aproveitou ferramentas comerciais de IA generativa para invadir mais de 600 firewalls FortiGate em 55 países. A campanha, observada entre 11 de janeiro e 18 de fevereiro de 2026, exemplifica como a inteligência artificial está a reduzir a barreira de entrada para os atacantes, permitindo-lhes escalar operações com eficiência industrial.

De acordo com CJ Moses, Chief Information Security Officer (CISO) na Amazon Integrated Security, o atacante utilizou uma "linha de montagem alimentada por IA" para automatizar tarefas complexas, desde a programação de scripts de reconhecimento até ao planeamento de movimentos laterais. Embora o ator de ameaça tenha demonstrado uma sofisticação técnica limitada, o uso da IA atuou como um potente multiplicador de força, permitindo-lhes comprometer infraestruturas críticas sem depender de explorações avançadas ou vulnerabilidades de dia zero (zero-day).

A Linha de Montagem Alimentada por IA

A investigação da Amazon destaca uma mudança crítica no panorama de ameaças. O adversário, identificado como sendo motivado financeiramente e não patrocinado por um Estado, dependeu fortemente de múltiplas plataformas comerciais de IA generativa (generative AI). Estas ferramentas foram utilizadas para gerar scripts de ataque, orquestrar a execução de comandos e até para a resolução de problemas (troubleshooting) de erros durante o processo de intrusão.

Os investigadores da Amazon descobriram uma infraestrutura acessível publicamente gerida pelos atacantes que alojava um tesouro de artefactos gerados por IA. Isto incluía código-fonte para ferramentas de hacking personalizadas, configurações de rede de vítimas e planos de ataque detalhados. A dependência da IA era tão forte que, quando a ferramenta de IA principal estava indisponível, o atacante mudava perfeitamente para uma plataforma secundária para continuar as operações.

As ferramentas de reconhecimento personalizadas, escritas em Go e Python, apresentavam marcas distintas de geração por IA. A análise da Amazon ao código-fonte revelou "comentários redundantes que meramente reafirmam nomes de funções, arquitetura simplista com investimento desproporcional na formatação em detrimento da funcionalidade e análise JSON ingénua". Estas características sugerem que o ator carecia da destreza de programação para construir estas ferramentas manualmente, mas conseguiu instruir com sucesso um modelo de IA para as construir de acordo com as especificações.

Análise Técnica: Eficiência sobre Sofisticação

Ao contrário dos receios de que a IA desenvolva novas explorações de dia zero, esta campanha teve sucesso através de uma eficiência implacável visando falhas de segurança fundamentais. O ator de ameaça não explorou vulnerabilidades de software específicas do FortiGate. Em vez disso, realizou varrimentos automatizados em massa para interfaces de gestão expostas nas portas 443, 8443, 10443 e 4443.

Assim que um alvo era identificado, o ator tentava autenticar-se utilizando credenciais padrão ou comummente reutilizadas em dispositivos que careciam de autenticação multifator (MFA). Se um alvo se revelasse difícil — como ter serviços corrigidos ou portas fechadas — o atacante simplesmente seguia em frente, priorizando "alvos fáceis" em vez da persistência.

Principais Observações Técnicas:

• Origem do Varrimento: A atividade de varrimento em massa teve origem no endereço IP 212.11.64[.]250.
• Roubo de Credenciais: As violações bem-sucedidas permitiram a extração de configurações completas de dispositivos, incluindo credenciais de SSL-VPN e mapas de topologia de rede.
• Movimento Lateral: Os dados roubados foram utilizados para pivotar para redes internas, visando ambientes de Active Directory e infraestruturas de cópia de segurança (backup).
• Vulnerabilidades Alvo: Embora o acesso inicial tenha dependido de credenciais fracas, as ferramentas de pós-exploração foram concebidas para explorar vulnerabilidades conhecidas no Veeam Backup & Replication, especificamente CVE-2023-27532 e CVE-2024-40711.

Impacto Global e Indicadores de Pré-Ransomware

O âmbito do ataque foi indiscriminado e agnóstico em relação ao setor, afetando organizações no Sul da Ásia, América Latina, Caraíbas, África Ocidental, Norte da Europa e Sudeste Asiático. A natureza generalizada da campanha indica uma abordagem automatizada de "disparar e rezar" (spray and pray) potenciada pelo processamento de IA.

A Amazon classifica esta atividade como uma operação de preparação de pré-ransomware (pre-ransomware). Os atacantes focaram-se na extração de palavras-passe administrativas, mapeamento da rede e comprometimento de sistemas de backup — precursores clássicos de uma implementação devastadora de ransomware. Ao comprometer os servidores de backup da Veeam, os atores provavelmente pretendiam desativar as opções de recuperação, aumentando assim a influência para futuras exigências de extorsão.

Análise Comparativa: Operações Tradicionais vs. Aumentadas por IA

A tabela seguinte ilustra como a integração da IA Generativa transformou as capacidades deste ator de ameaça específico em comparação com um adversário tradicional de baixa qualificação.

Comparação de Capacidades do Adversário

Implicações para a Estratégia de Cibersegurança

Esta campanha serve como um alerta para as organizações que dependem da "segurança através da obscuridade". A capacidade de atores de baixa qualificação escalarem ataques utilizando IA significa que as configurações incorretas básicas são agora vulnerabilidades que serão descobertas e exploradas à velocidade das máquinas.

CJ Moses enfatizou que os fundamentos defensivos robustos continuam a ser a contramedida mais eficaz. "Como esperamos que esta tendência continue em 2026, as organizações devem antecipar que a atividade de ameaça aumentada por IA continuará a crescer", afirmou Moses.

Mitigações Recomendadas:

1. Eliminar a Exposição: Garantir que as interfaces de gestão do FortiGate não estão expostas à internet pública.
2. Impor MFA: Implementar imediatamente a autenticação multifator para todos os pontos de acesso VPN e administrativos.
3. Gestão de Patches: Atualizar regularmente todos os dispositivos e software de perímetro, corrigindo especificamente vulnerabilidades conhecidas como as da Veeam.
4. Segmentação de Rede: Isolar os servidores de backup do acesso geral à rede para evitar que os atores de ransomware paralisem os esforços de recuperação.

À medida que a IA Generativa continua a amadurecer, a distinção entre hackers "qualificados" e "não qualificados" está a tornar-se ténue. Este incidente confirma que a IA não é apenas uma ferramenta para os defensores, mas uma alavanca potente para os adversários, capaz de transformar um novato numa ameaça global.