CẢNH BÁO LỖ HỔNG NGHIÊM TRỌNG

Các chuyên gia bảo mật từ Arctic Wolf vừa phát hiện chiến dịch tấn công nhắm vào hệ thống FortiClient Endpoint Management Server (EMS). Tin tặc lợi dụng lỗ hổng CVE-2026-35616 để triển khai mã độc EKZ Infostealer dưới dạng bản cập nhật giả mạo, đe dọa nghiêm trọng đến dữ liệu của các tổ chức.

Phân tích lỗ hổng CVE-2026-35616

Lỗ hổng CVE-2026-35616 (điểm CVSS 9.1) cho phép kẻ tấn công chưa xác thực bỏ qua API truy cập và leo thang đặc quyền. Điều này giúp chúng thay đổi cấu hình hệ thống và đẩy các lệnh PowerShell độc hại xuống toàn bộ các thiết bị đầu cuối đang được quản lý bởi máy chủ EMS.

Mã lỗ hổng: CVE-2026-35616

Mức độ: Rất nghiêm trọng (Critical)

Dòng mã độc: EKZ Infostealer

Hệ thống ảnh hưởng: FortiClient EMS cũ hơn 7.4.7

Phương thức tấn công và Mã độc EKZ Infostealer

Kẻ tấn công sử dụng chính hạ tầng quản lý của Fortinet để triển khai mã độc, khiến hành vi này trông giống như các hoạt động quản trị hợp lệ. Quy trình tấn công diễn ra như sau:

Lợi dụng API để thay đổi cấu hình Remote Access Profile và chính sách thiết bị.
Chèn các đoạn mã PowerShell độc hại thực thi dưới quyền hệ thống.
Tải về tệp thực thi "FortiEndpoint_Patch.exe" - một phiên bản giả mạo của bản vá Fortinet.
Mã độc EKZ sẽ thu thập mật khẩu, cookie, thông tin thẻ tín dụng từ các trình duyệt dựa trên Chromium và Gecko.

Hành động ứng cứu khẩn cấp

Để bảo vệ hệ thống trước chiến dịch tấn công này, TMGS khuyến nghị các tổ chức thực hiện ngay:

Nâng cấp ngay lập tức: Cập nhật FortiClient EMS lên phiên bản 7.4.7 hoặc mới hơn.
Rà soát nhật ký: Kiểm tra các yêu cầu API bất thường và lịch sử thực thi PowerShell trên các thiết bị đầu cuối.
Giám sát tệp tin: Tìm kiếm sự hiện diện của tệp FortiEndpoint_Patch.exe trong thư mục ProgramData.
Đổi mật khẩu: Thực hiện thay đổi mật khẩu quản trị và các tài khoản quan trọng nếu nghi ngờ có sự xâm nhập.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Tin tặc khai thác lỗ hổng FortiClient EMS để phát tán mã độc EKZ Infostealer