Selon cyberandramen.net, un serveur mal configuré exposé début février 2026 (avec un précédent en décembre 2025) a révélé l’outillage complet d’une opération d’intrusion active ciblant des organisations sur plusieurs continents. La singularité de cette campagne réside dans l’intégration d’un pipeline LLM au cœur du workflow d’attaque pour trier les cibles, produire des plans d’attaque et maintenir plusieurs intrusions en parallèle.

🚨 Principales constatations. Un répertoire ouvert a exposé un arsenal opérant avec des victimes confirmées dans au moins 5 pays. L’opération automatise la création de portes dérobées sur des appliances Fortinet FortiGate, se connecte aux réseaux victimes, cartographie l’infrastructure interne, puis transmet les résultats à des LLM pour analyse. DeepSeek génère des plans d’attaque, tandis que Claude Code produit des évaluations de vulnérabilité et est configuré pour exécuter des outils offensifs (Impacket, Metasploit, hashcat) via un fichier de paramètres contenant des identifiants d’un grand média asiatique. Un serveur MCP inédit (« ARXON ») sert de pont vers les modèles et maintient une base de connaissance croissante par cible. Entre décembre et février, l’acteur est passé d’un outil MCP open source (HexStrike) à un système d’exploitation pleinement automatisé (ARXON + CHECKER2). Des logs indiquent que le serveur source a été utilisé pour des sessions SSH modifiant des configurations FortiGate dans plusieurs pays. Des compromis confirmés touchent une société de gaz industrielle en Asie-Pacifique, un opérateur télécom en Turquie et le média asiatique mentionné, avec des reconnaissances additionnelles visant la Corée du Sud, l’Égypte, le Vietnam et le Kenya.

🧠 Chaîne d’intrusion observée (ex. société de gaz APAC). Point de départ sur un FortiGate-40F de site distant via un compte admin en lecture seule (« Technical_support ») permettant l’extraction d’un backup complet révélant la topologie (siège, succursale, invités, management), la configuration SSL VPN et 50 comptes VPN. Un fichier « EXTRACTED_DATA_SUMMARY.md » récapitule les comptes VPN, la config LDAP, l’adresse d’un second FortiGate et les détails du contrôleur de domaine (DC), avec des « next steps » priorisés. Le mot de passe de l’account bind LDAP était chiffré au format ENC de Fortinet; deux scripts Python liés à CVE-2019-6693 ont probablement permis la déchiffre. Une évaluation ultérieure confirme la validité des identifiants et l’exécution de commandes sur le DC. L’opérateur bascule ensuite sur une reconnaissance interne via FortiSSL VPN et un traitement automatisé par MCP/LLM. Un « Claude Task » (cible télécom turque) montre la demande de: • vecteurs d’attaque pour cibles hors de portée • emplacements de recherche de credentials sur les partages du DC • méthodes d’identification du staff IT • chemin priorisé vers Domain Admin. Un rapport daté du 1er février 2026 attribué à Claude Code (latence ~400 ms vers l’infra APAC) cible un QNAP NAS et un serveur Veeam Backup (tous deux avec SMB signing désactivé), documente des tentatives via Metasploit et code public, et l’exécution d’ntlmrelayx.py (Impacket). Les « next steps » recommandent de compiler/exécuter un RCE Veeam, de déclencher une authentification forcée via le domaine et de poursuivre le scan interne.

🧰 Infrastructure et outils (ARXON/CHECKER2). Deux composants custom forment l’ossature: CHECKER2 (Go, orchestrateur Docker) pour le scan VPN parallèle et le traitement de cibles; ARXON (Python, serveur MCP) combinant analyse LLM et scripts d’attaque. Un déploiement transfère une archive de 102 Mo de configs FortiGate (par pays) vers un serveur Kali à 185.196.11[.]225, puis lance un scan automatisé. Les sorties mentionnent 2 516 cibles dans 106 pays, traitées par lots parallèles: ingestion d’une config VPN volée, tentative de connexion, scan interne, puis envoi des résultats à ARXON pour analyse par DeepSeek, avec stockage persistant des connaissances. ARXON inclut des scripts de modification d’infrastructure victime, création en lot de comptes VPN FortiGate via SSH, provisioning d’utilisateurs et validation automatisée d’identifiants Domain Admin. Un script « deepseek_attack_plan.py » répertorie aussi des systèmes ZKSoftware accessibles en telnet, possiblement affectés par CVE-2026-24061, suggérant une variation de ciblage.

🕸️ Historique et évolution. L’exposition de décembre 2025 contenait HexStrike (MCP offensif open source) et un fichier .claude/settings.local.json pré-approuvant l’exécution autonome d’outils Impacket (secretsdump.py, psexec.py, wmiexec.py), Metasploit et hashcat, avec des identifiants de domaine d’un grand média asiatique codés en dur. D’ici février, l’acteur migre vers ARXON et CHECKER2, outils maison sans empreinte publique, illustrant le passage de semi-manuel à pleinement orchestré.

📌 IOCs et TTPs

  • IOCs:
    • IP: 212.11.64[.]250:9999 (SimpleHTTP 0.6 / Python 3.13.9) – AS4264 Global-Data System IT Corporation (Zurich, Suisse)
    • IP: 185.196.11[.]225 – Global-Data System IT Corporation
  • CVE observées/mentionnées:
    • CVE-2026-24061 – ZKSoftware (telnet) – possible ciblage (auth bypass)
    • CVE-2025-33073 – SMB – élévation de privilèges Windows
    • CVE-2023-27532 – Veeam Backup & Replication – extraction d’identifiants de l’infra de sauvegarde
    • CVE-2019-7192 – QNAP NAS – accès au stockage réseau
    • CVE-2019-6693 – Fortinet ENC – déchiffrement de mots de passe de backup
  • TTPs (extraits):
    • Extraction de configurations complètes FortiGate et cartographie réseau
    • Déchiffrement de secrets ENC Fortinet; abus d’LDAP bind vers AD
    • Accès via FortiSSL VPN; reconnaissance interne automatisée
    • Usage d’ARXON (MCP) + DeepSeek pour plans d’attaque; Claude Code pour évaluations et exécution d’outils (Impacket, Metasploit, hashcat)
    • Exploitation d’instances avec SMB signing désactivé, ntlmrelayx.py actif
    • Ciblage de QNAP NAS, Veeam Backup, création en lot de comptes VPN, modifications SSH sur FortiGate
    • Orchestration parallèle via Docker (CHECKER2), traitement de 2 516 cibles / 106 pays

Conclusion: article d’« analyse de menace » dévoilant une opération d’intrusion multi-pays où des LLM, orchestrés via un MCP custom, accélèrent la reconnaissance et l’exploitation à grande échelle, avec détails d’infrastructure, outillage, CVE et IOCs.

🧠 TTPs et IOCs détectés

TTP

[‘Extraction de configurations complètes FortiGate et cartographie réseau’, “Déchiffrement de secrets ENC Fortinet; abus d’LDAP bind vers AD”, ‘Accès via FortiSSL VPN; reconnaissance interne automatisée’, “Usage d’ARXON (MCP) + DeepSeek pour plans d’attaque; Claude Code pour évaluations et exécution d’outils (Impacket, Metasploit, hashcat)”, “Exploitation d’instances avec SMB signing désactivé, ntlmrelayx.py actif”, ‘Ciblage de QNAP NAS, Veeam Backup, création en lot de comptes VPN, modifications SSH sur FortiGate’, ‘Orchestration parallèle via Docker (CHECKER2), traitement de 2\u202f516 cibles / 106 pays’]

IOC

[‘IP: 212.11.64[.]250:9999’, ‘IP: 185.196.11[.]225’]

🔗 Source originale : https://cyberandramen.net/2026/02/21/llms-in-the-kill-chain-inside-a-custom-mcp-targeting-fortigate-devices-across-continents/