Une campagne de cyberattaques d’envergure mondiale a permis à un acteur malveillant motivé financièrement de compromettre plus de 600 appareils FortiGate répartis dans 55 pays entre le 11 janvier et le 18 février 2026.
L’attaque illustre une tendance préoccupante : l’utilisation massive de l’intelligence artificielle générative pour automatiser et industrialiser des opérations offensives à grande échelle.
Une campagne basée sur des identifiants exposés
Contrairement à de nombreuses attaques sophistiquées, cette opération ne s’est appuyée sur aucune vulnérabilité zero-day. L’accès initial reposait uniquement sur :
- Des interfaces de gestion FortiGate exposées sur Internet
- Des identifiants faibles ou réutilisés
- L’absence d’authentification multifactorielle
L’attaquant a scanné systématiquement les ports 443, 8443, 10443 et 4443 afin d’identifier les systèmes vulnérables.
Les fichiers de configuration récupérés contenaient :
- Identifiants SSL-VPN
- Comptes administrateurs
- Informations détaillées sur la topologie réseau
- Configurations IPsec VPN
- Politiques de pare-feu internes
Ces données ont ensuite été analysées et organisées à l’aide de scripts Python assistés par IA pour automatiser la collecte d’identifiants.
L’IA au cœur de l’opération
Selon Amazon Threat Intelligence, l’attaquant a utilisé au moins deux fournisseurs distincts de modèles de langage (LLM) :
- Un LLM pour générer les outils et planifier l’attaque
- Un second pour guider les mouvements latéraux
Dans un cas documenté, la topologie complète d’un réseau victime a été soumise à un service d’IA afin d’obtenir des instructions étape par étape pour l’exploitation.
Les analystes ont qualifié l’opération de « chaîne de montage cybercriminelle alimentée par l’IA ».
Post-exploitation et escalade de privilèges
Après l’accès initial, l’attaquant a :
- Déployé Meterpreter
- Utilisé Mimikatz
- Réalisé des attaques DCSync
- Extrait des bases NTLM complètes
Les techniques de propagation incluaient :
- Pass-the-hash
- Pass-the-ticket
- Relais NTLM
Les serveurs Veeam Backup & Replication ont été spécifiquement ciblés afin de neutraliser les capacités de restauration avant un potentiel déploiement de ransomware.
Vulnérabilités exploitées
| CVE | Produit | Score CVSS | Description |
|---|---|---|---|
| CVE-2019-7192 | FortiOS | 9.8 | Traversée de chemin permettant accès non authentifié |
| CVE-2023-27532 | Veeam Backup | 7.5 | Extraction d’identifiants via API |
| CVE-2024-40711 | Veeam Backup | 9.8 | Exécution de code à distance |
Des limites techniques révélées
Malgré l’ampleur de l’attaque, les analystes ont noté des signes d’inexpérience :
- Scripts mal structurés
- Analyse JSON rudimentaire
- Documentation incomplète
- Abandon rapide face aux environnements sécurisés
L’avantage principal de l’attaquant résidait dans l’automatisation massive permise par l’IA, et non dans une expertise technique avancée.
Indicateurs de compromission (IoC)
- 212[.]11[.]64[.]250
- 185[.]196[.]11[.]225
Recommandations de sécurité
Les organisations utilisant des appliances FortiGate doivent immédiatement :
- Retirer les interfaces de gestion de l’Internet
- Activer l’authentification multifactorielle
- Changer tous les identifiants SSL-VPN et administratifs
- Surveiller les événements DCSync (Event ID 4662)
- Auditer les serveurs Veeam
Une surveillance comportementale est recommandée, car l’attaque utilise des outils open source légitimes, rendant la détection par signatures inefficace.
Source : cybersecuritynews
