NGUY HIỂM CAO

Tin tặc khai thác lỗ hổng FortiClient EMS để triển khai mã độc đánh cắp thông tin

Một chiến dịch tấn công mới đã được phát hiện lợi dụng lỗ hổng nghiêm trọng trong hạ tầng FortiClient Endpoint Management Server (EMS). Tin tặc giả mạo các bản cập nhật Fortinet để âm thầm thực thi mã độc qua PowerShell, biến các thiết bị đầu cuối thành mục tiêu đánh cắp dữ liệu nhạy cảm trên diện rộng.

Phân tích kỹ thuật lỗ hổng CVE-2026-35616

Chỉ số nghiêm trọng

Lỗ hổng đạt điểm CVSS 9.1, cho phép bỏ qua xác thực API (pre-authentication API access bypass), dẫn đến leo thang đặc quyền trái phép trên hệ thống quản lý tập trung.

Đối tượng bị ảnh hưởng

Các hệ thống FortiClient EMS chưa được cập nhật lên phiên bản vá lỗi 7.4.7 hoặc các phiên bản mới hơn do nhà sản xuất phát hành.

Phương thức tấn công và Mã độc đánh cắp dữ liệu

Kẻ tấn công sử dụng chính luồng quản lý hợp lệ của FortiClient để đẩy các lệnh PowerShell độc hại đến thiết bị cuối. Mã độc được ngụy trang dưới tên tệp "FortiEndpoint_Patch.exe" nhưng thực chất là một biến thể Infostealer nguy hiểm:

Thu thập dữ liệu trình duyệt: Thu thập mật khẩu, cookie, và dữ liệu tự động điền từ các trình duyệt nhân Chromium và Gecko.
Đánh cắp thông tin tài chính: Khai thác dữ liệu thẻ tín dụng, địa chỉ và số điện thoại được lưu trữ trên thiết bị.
Chiếm quyền truy cập Cloud: Các phiên cookie bị lấy cắp có thể giúp tin tặc vượt qua xác thực đa yếu tố (MFA) để xâm nhập vào ứng dụng đám mây của doanh nghiệp.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Để ngăn chặn nguy cơ rò rỉ dữ liệu, đội ngũ quản trị mạng cần thực hiện ngay các bước sau:

Cập nhật ngay lập tức: Nâng cấp FortiClient EMS lên phiên bản 7.4.7 trở lên để vá lỗ hổng CVE-2026-35616.
Kiểm tra cấu hình: Rà soát lại các Remote Access Profile và chính sách endpoint xem có các script PowerShell lạ được chèn vào hay không.
Giám sát tiến trình: Theo dõi tiến trình fortitray.exe và các hành vi gọi cmd.exe hoặc PowerShell bất thường.
Rà soát IoC: Kiểm tra sự tồn tại của tệp thực thi độc hại trong thư mục ProgramData và các kết nối đến IP lạ qua cổng HTTP.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Tin tặc khai thác lỗ hổng FortiClient EMS để cài đặt mã độc đánh cắp tài khoản