Ах, FortiClient EMS — это как тот самый друг на корпоративе, который вроде бы помогает всем, но вдруг решил подлить яд в общий напиток. Представьте себе: вы доверяете системе управления конечными устройствами, а она внезапно превращается в тайного сообщника хакеров! Звучит как сюжет из шпионского фильма, правда? Только на этот раз главные герои — не Джеймс Бонд и злодеи с острова Шпигель, а администраторы IT-парков и коварные киберпреступники.
В мае 2026 года Arctic Wolf заметила весьма неприятную активность: злоумышленники нашли дыру в FortiClient EMS с оценкой 9.1 по CVSS — это почти как получить пятерку с плюсом за взлом.
Уязвимость CVE-2026-35616 позволяла обойти аутентификацию API и повысить привилегии. Если говорить простым языком: злодеи получили ключи от машины управления всеми компьютерами компании и начали кататься по офису без спроса.
Fortinet быстро выпустил патч в версии 7.4.7, но пока админы обновляли свои серверы, хакеры успели устроить настоящий праздник для своих ботнетов.
Самое забавное (или грустное) в этом сценарии — то, что атака проходила тихо и незаметно, словно воришка в ночной рубашке и тапочках. Вместо того чтобы ломать каждый ноутбук отдельно (что было бы похоже на попытку открыть все двери в доме отмычкой), злоумышленники просто переписали настройки управляющей системы. Они откладывали напоминания об обновлениях (ну кто же любит эти надоедливые уведомления?), меняли параметры удаленного доступа и подсовывали вредоносные скрипты прямо через официальные каналы доставки команд.
Представьте себе: ваша система безопасности сама приносит вам коробку с вирусом вместо конфет!
Arctic Wolf отметила, что действия хакеров выглядели как обычная административная работа — словно системный админ пришел поменять лампочку или обновить драйверы. Использовали они легитимный файл fortitray.exe, который запускал цепочку скриптов через cmd.exe и PowerShell с кодировкой Base64 — такой себе кибер-пирог с секретной начинкой.
А полезная нагрузка скачивалась и отправляла результаты на IP-адрес 83.138.53[.]110 по HTTP POST — звучит почти как почтовая служба «Секретный агент», доставляющая посылки без опознавательных знаков.
Сам вредоносный файл маскировался под обновление Fortinet с именем FortiEndpoint_Patch.exe — классический ход мошенников: если хочешь пройти мимо охраны, надень форму сотрудника службы безопасности! Этот стилер собирал пароли, cookies и автозаполняемые данные из браузеров на движках Chromium и Gecko — то есть мог узнать про ваши банковские карты больше, чем ваш собственный кошелек после зарплаты.
Интересно, что сам стилер не умел отправлять данные напрямую наружу; этим занимался PowerShell-обвязка. Для защитников это подсказка: не стоит судить о серьезности инцидента только по сетевому поведению одного файла — иногда за внешним спокойствием скрывается настоящий шторм.
Эта история напоминает старый анекдот про программиста: «Почему программисты путают Хэллоуин и Рождество?
Потому что OCT 31 = DEC 25». Здесь же у нас получилась ситуация: система централизованного управления превратилась из надежного охранника в троянского коня внутри крепости.
Пока она работает без проблем — отлично! Но стоит ей захандрить или попасться злоумышленникам — привет всем устройствам внутри сети! Даже самая сегментированная инфраструктура становится похожей на сыр в мышеловке: мышь уже внутри дома и может свободно гулять по комнатам.
Уязвимость в FortiClient EMS демонстрирует, насколько опасной может быть компрометация системы управления конечными устройствами, превращая её в инструмент атаки изнутри. Этот инцидент подчёркивает важность своевременного обновления и мониторинга безопасности, чтобы не дать хакерам свободный доступ к корпоративной инфраструктуре. В итоге, даже самые надёжные решения требуют постоянного внимания и превентивных мер, иначе последствия могут быть катастрофическими.