Die Angriffskampagne nutzt eine besonders perfide Methode: Threat Actors exploitieren CVE-2026-35616, eine Pre-Authentication-API-Schwachstelle in FortiClient EMS, um ohne gültige Anmeldedaten administrative Privilegien zu erlangen. Nach erfolgreichem Eindringen manipulieren die Angreifer gezielt die Endpunkt-Verwaltungskonfigurationen — insbesondere, um Firmware-Update-Erinnerungen zu unterdrücken und böswillige PowerShell-Skripte in die Remote-Access-Profile einzuschleusen.
Besonders raffiniert ist die Execution-Methode: Das Team nutzt “fortitray.exe”, ein legitimes Fortinet-Executable, um eine .cmd-Datei auszuführen. Diese wiederum startet ein Base64-kodiertes PowerShell-Skript, das den finalen Malware-Payload von der Angreifer-Infrastruktur (83.138.53[.]110) herunterlädt und ausführt. Die Malware selbst, getarnt als “FortiEndpoint_Patch.exe”, ist ein bislang unbekannter Windows-Information-Stealer.
Das Schadprogramm ist hocheffektiv: Es harvesiert Passwörter, Browser-Cookies und Autofill-Daten aus Chromium- und Firefox-basierten Browsern — einschließlich Kreditkartennummern, Adressen und Telefonnummern. Die erbeuteten Daten werden zunächst lokal im ProgramData-Verzeichnis gespeichert und anschließend via HTTP-POST zum Angreifer übertragen.
Die Konsequenzen sind gravierend: Arctic Wolf warnt, dass Session-Cookies und gespeicherte Browser-Anmeldedaten Cyberkriminellen Zugang zu Cloud-Services, internen Anwendungen und authentifizierten Ressourcen verschaffen. Besonders problematisch: Wiederverwendete Sessions können sogar Multi-Faktor-Authentifizierung umgehen.
Für deutsche Organisationen bedeutet dies eine doppelte Bedrohung. Erstens müssen IT-Administratoren sofort überprüfen, ob FortiClient EMS-Versionen älter als 7.4.7 im Einsatz sind. Zweitens sind Unternehmen zur Meldung von Datenschutzverstößen verpflichtet — insbesondere wenn personenbezogene oder Zahlungsdaten kompromittiert wurden. Das BSI empfiehlt zudem, betroffene Systeme auf Indikatoren des Compromising zu untersuchen und Passwort-Reset-Kampagnen durchzuführen.
Die Lücke zeigt ein fundamentales Risiko: Wenn sich Angreifer erst einmal in der Verwaltungsebene festsetzen, wird jedes verwaltete Endgerät zur potenziellen Waffe — ohne separate Intrusion pro Gerät nötig zu haben.