Hacker nutzen aktiv eine kritische FortiClient-EMS-Schwachstelle aus, um Infostealer-Malware auf anfälligen Systemen zu verbreiten. Sicherheitsforscher warnten, dass Angreifer die Unternehmensverwaltungsplattform missbrauchen, um schädliche Payloads direkt auf verwaltete Endgeräte zu übertragen.
Die Angriffe zeigen, wie Cyberkriminelle zunehmend zentralisierte Verwaltungsinfrastrukturen ins Visier nehmen, um große Mengen an Geräten gleichzeitig zu kompromittieren.
Kritische Schwachstelle ermöglicht unbefugten Zugriff
Die Angriffe basieren auf CVE-2026-35616, einer kritischen Authentifizierungsumgehungs-Schwachstelle in FortiClient Enterprise Management Server. Forscher erklärten, dass die Schwachstelle es Angreifern ermöglicht, über speziell gestaltete Anfragen unbefugte Befehle auszuführen.
Fortinet bestätigte, dass Bedrohungsakteure die Schwachstelle bereits bei realen Angriffen ausnutzen.
Die Schwachstelle betrifft FortiClient EMS Version 7.4.5 und 7.4.6. Fortinet veröffentlichte Sicherheitsupdates und forderte Kunden auf, exponierte Server sofort zu patchen.
Da EMS-Plattformen Endpoint-Bereitstellungen und Sicherheitsrichtlinien verwalten, können Angreifer kompromittierte Server nutzen, um Malware in Unternehmensumgebungen zu verteilen.
Angreifer verbreiten EKZ-Infostealer-Malware
Forscher beobachteten, dass Angreifer die FortiClient-EMS-Schwachstelle nutzten, um eine bislang unbekannte Malware namens EKZ Infostealer zu verbreiten. Die Malware tarnte sich als legitimes Fortinet-Update, um keinen Verdacht zu erregen.
Die Angreifer missbrauchten Berichten zufolge die Skriptfunktionen der EMS-Plattform, um schädliche PowerShell-Befehle auf verwalteten Systemen auszuführen.
Nach der Installation versuchte EKZ, im Browser gespeicherte Zugangsdaten und andere sensible Informationen von infizierten Geräten zu stehlen. Forscher erklärten, dass die Malware die gestohlenen Daten an eine von den Angreifern kontrollierte Infrastruktur übertrug.
Die Kampagne verdeutlicht die Risiken vertrauenswürdiger Verwaltungsplattformen. Wenn Angreifer die Kontrolle über solche Systeme erlangen, können sie Malware intern verbreiten, ohne sofort Verdacht zu erregen.
Organisationen sollten sofort patchen
Sicherheitsteams sollten das Patchen anfälliger EMS-Server priorisieren und Protokolle auf ungewöhnliche administrative Aktivitäten überprüfen. Forscher empfahlen Organisationen außerdem, Endpoint-Systeme auf unbefugte Skripte oder verdächtige Softwarebereitstellungen zu untersuchen.
Experten empfehlen, die externe Erreichbarkeit von Verwaltungsservern nach Möglichkeit einzuschränken. Unternehmen sollten außerdem potenziell kompromittierte Zugangsdaten zurücksetzen, wenn sie eine erfolgreiche Ausnutzung vermuten.
Endpoint-Management-Infrastrukturen bleiben ein wertvolles Ziel für Cyberkriminelle, weil sie häufig privilegierten Zugriff auf große Unternehmensumgebungen bieten.
Fazit
Die FortiClient-EMS-Schwachstelle zeigt, wie gefährlich Schwachstellen in Unternehmensverwaltungsplattformen werden können. Angreifer nutzten die Schwachstelle, um Malware zum Diebstahl von Zugangsdaten über vertrauenswürdige Infrastruktur zu verbreiten, was das Risiko großflächiger Kompromittierungen erhöhte. Organisationen sollten betroffene Systeme schnell patchen und ihre Umgebungen auf Anzeichen unbefugter Aktivitäten überwachen, bevor Angreifer ihre Ausnutzungskampagnen ausweiten.
0 Kommentare zu „FortiClient-EMS-Schwachstelle wird zur Verbreitung von Malware ausgenutzt“