Se ha detectado una campaña de explotación que afecta al servidor de gestión de endpoints FortiClient EMS. Los atacantes aprovecharon la vulnerabilidad CVE-2026-35616, relacionada con un control de acceso inadecuado, para desplegar un ladrón de credenciales previamente desconocido en los dispositivos gestionados de diversas empresas, utilizando para ello la infraestructura administrativa de confianza.

Una campaña de explotación observada recientemente contra el Servidor de Gestión de Endpoints (EMS) de FortiClient ha utilizado la infraestructura administrativa de confianza para desplegar silenciosamente un robador de credenciales, no reportado anteriormente, en los endpoints gestionados de la empresa.

En mayo de 2026, investigadores de Arctic Wolf identificaron un grupo de actividad maliciosa que explotaba CVE-2026-35616, una vulnerabilidad de control de acceso inadecuado en FortiClient EMS.

El fallo permite que actores de amenazas no autenticados evadan la autenticación de la API y envíen solicitudes privilegiadas a los despliegues afectados, otorgando efectivamente el control administrativo sin credenciales válidas.

Los atacantes abusaron de la propia infraestructura de FortiClient

Una vez que los actores de amenazas obtuvieron acceso a la configuración del EMS, modificaron el Perfil de Acceso Remoto y la política del endpoint para inyectar scripts maliciosos dirigidos a todos los dispositivos gestionados.

FortiClient EMS admite la ejecución de scripts al establecer un túnel VPN mediante directivas on_connect, una función legítima que los atacantes convirtieron totalmente en un arma.

Cuando los endpoints afectados se conectan a través de un túnel IPsec, fortitray.exe ejecutaba archivos de script .cmd con nombres de archivo basados en GUID almacenados dentro de la ruta de registro de VPN estándar de FortiClient:

C:\Program Files\Fortinet\FortiClient\logs\Trace\scripts\{GUID}.cmd

Estos scripts decodificaban y ejecutaban una carga útil de PowerShell codificada en base64 que descargaba el ejecutable malicioso, lo ejecutaba silenciosamente, esperaba 90 segundos y exfiltraba la salida mediante HTTP POST a un VPS controlado por el actor de la amenaza en 83[.]138.53[.]110.

El linaje del proceso observado fue:

• fortitray.exe o ipsec.exe → cmd.exe → powershell.exe → FortiEndpoint_Patch.exe

La explotación inicial también estuvo vinculada a eventos de inicio de sesión desde múltiples IPs de nodos de salida de Tor, incluidas 185[.]220.101.15 y 192[.]42.116.14, pocas horas después de la evasión de la autenticación de la API.

EKZ Infostealer – Herramienta de recolección de credenciales

La carga útil descargada, disfrazada de FortiEndpoint_Patch.exe, es un binario de Windows compilado con MinGW que Arctic Wolf designó como EKZ Infostealer, nombrado así por las cadenas de símbolos internas extraídas del código descifrado. Esta herramienta fue observada por primera vez en mayo de 2026 y no había sido documentada previamente.

EKZ se dirige tanto a los navegadores de la familia Chromium (Chrome, Edge) como a los de la familia Gecko (Firefox, LibreWolf, Thunderbird). Para los navegadores Chromium, localiza las instalaciones a través del registro, se copia a sí mismo en el directorio Application del navegador para pasar la validación de la ruta del Servicio de Elevación, y llama a IElevator::DecryptData para obtener la clave maestra AES-256 v20 antes de descifrar las bases de datos de credenciales.

Para Firefox, carga dinámicamente nss3.dll y extrae datos de key4.db, logins.json y cookies.sqlite.

Los datos recolectados, incluyendo contraseñas guardadas, cookies de sesión y entradas de autocompletado como detalles de tarjetas de crédito, se escriben en un archivo log.txt en ProgramData y luego se exfiltran según un horario programado.

Las cookies de sesión robadas son particularmente peligrosas, ya que pueden permitir el secuestro de cuentas incluso donde existen protecciones MFA, según observó Arctic Wolf.

Indicadores de Compromiso

Indicador	Tipo	Descripción
83[.]138.53[.]110	Dirección IP	Host C2/carga útil controlado por el actor de la amenaza
185[.]220.101.15	Dirección IP	Nodo de salida Tor utilizado para el inicio de sesión
192[.]42.116.14	Dirección IP	Nodo de salida Tor utilizado para el inicio de sesión
0da123adf9251957a4b850a3f6bd6a753dd4892be176a84a18450e899534cc5e	SHA-256	EKZ Infostealer (FortiEndpoint_Patch.exe)
FortiEndpoint_Patch.exe / p.exe	Nombre de archivo	Binario malicioso robador de credenciales
hxxp[:]//83.138.53[.]110/dl/p.exe	URL	URL de entrega de la carga útil

Mitigaciones

• Parchea inmediatamente — Actualiza FortiClient EMS a una versión corregida que solucione la CVE-2026-35616
• Restringe el acceso al puerto de gestión — Limita el acceso de red al puerto 8013 del EMS solo a rangos de IP de confianza
• Audita las configuraciones de scripts de VPN — Revisa las directivas on_connect y script dentro de los Perfiles de Acceso Remoto para detectar entradas no autorizadas
• Busca IOCs — Busca en los registros de los endpoints archivos .cmd con nombres GUID en la ruta logs\Trace\scripts\ de FortiClient y cadenas de procesos fortitray.exe anómalas
• Rota las credenciales del navegador — Considera todas las credenciales y cookies de sesión en los endpoints gestionados como potencialmente comprometidas

Las organizaciones que dependen de FortiClient EMS deben tratar esto como un detonante de respuesta a incidentes de alta prioridad, dado que un solo compromiso del EMS se traduce en una exposición de toda la flota en cada endpoint gestionado.

Fuentes:
https://cybersecuritynews.com/forticlient-code-execution-vulnerability/