FortiClient EMS Zero-Day: Angreifer stehlen Zugangsdaten

Angreifer missbrauchen eine kritische Sicherheitslücke in FortiClient EMS, um Passwortdiebstahl-Malware zu verteilen. Erfahren Sie, wie Sie sich schütze…

Die Attacke im Detail

Sicherheitsforscher von Arctic Wolf haben eine Kampagne aufgedeckt, bei der Bedrohungsakteure eine mittlerweile gepatchte, kritische Schwachstelle im FortiClient Endpoint Management Server (EMS) ausnutzen. Ziel ist es, eine Schadsoftware zu installieren, die sensible Zugangsdaten stiehlt.

„Die Kampagne missbrauchte vertrauenswürdige Endpunktverwaltungsinfrastruktur, um Schadsoftware auf verwalteten Endgeräten zu verteilen“, erklärten die Forscher. „Die Angreifer tarnten den Credential-Stealer als legitimes Fortinet-Endpunkt-Update.“

Wer ist betroffen?

Jedes Unternehmen, das FortiClient EMS einsetzt, könnte potenziell betroffen sein. Die Schwachstelle ermöglicht es Angreifern, sich als vertrauenswürdige Quelle auszugeben und Schadsoftware direkt auf die verwalteten Geräte zu schleusen.

Besonders alarmierend: Die Angreifer nutzen die vertrauenswürdige Infrastruktur des EMS-Servers selbst, was die Erkennung erschwert. Selbst erfahrene Sicherheitsteams könnten die bösartigen Updates zunächst übersehen.

Die technische Lücke

Die Schwachstelle (CVE-2024-23113) ermöglicht eine Authentifizierungsumgehung und Code-Ausführung aus der Ferne. Fortinet hat zwar einen Patch veröffentlicht, doch viele Systeme sind noch immer ungepatcht.

Den Forschern zufolge nutzen die Angreifer speziell präparierte EMS-Befehle, um den Schadcode auf die Clients zu übertragen. Der Credential-Stealer sammelt dann Browser-Passwörter, E-Mail-Anmeldedaten und andere sensible Informationen.

Was Sie jetzt tun müssen

Wenn Sie FortiClient EMS einsetzen, sollten Sie sofort handeln. Installieren Sie den verfügbaren Patch von Fortinet. Überprüfen Sie Ihre Systeme auf verdächtige Aktivitäten.

Wichtig: Vertrauen Sie nicht blind auf die Signaturprüfung des EMS-Servers. Die Angreifer haben Wege gefunden, legitime Zertifikate zu missbrauchen. Eine mehrschichtige Sicherheitsstrategie ist unerlässlich.

Arctic Wolf empfiehlt außerdem, die Netzwerksegmentierung zu überprüfen und Zugriffe auf den EMS-Server streng zu kontrollieren. Die Angreifer nutzen oft kompromittierte Administrative-Zugänge, um die Schwachstelle auszunutzen.

Ein wachsender Trend

Diese Angriffsmethode ist kein Einzelfall. Immer häufiger nutzen Kriminelle vertrauenswürdige Verwaltungswerkzeuge, um Malware zu verteilen – bekannt als „Living off the Land“-Angriffe. Der Missbrauch von EMS-Plattformen wie FortiClient zeigt, wie raffiniert die Angreifer geworden sind.

Sie sollten sich nicht allein auf Patches verlassen. Regelmäßige Sicherheitsaudits und Schulungen der Mitarbeiter sind ebenso wichtig. Denn die Angreifer werden nicht aufhören, neue Wege zu finden, Ihre Daten zu stehlen.

Weitere Artikel zu FortiClient EMS | Aktuelle Sicherheitslücken

Quelle: Arctic Wolf