Hackers exploram falha no FortiClient EMS para distribuir malware de roubo de informações

A CVE-2026-35616 não é um caso isolado de má configuração: é uma falha crítica de controle de acesso (CWE-284) que permite execução remota de código sem autenticação, com CVSS entre 9.1 e 9.8. Ela afeta apenas as versões 7.4.5 e 7.4.6 do FortiClient EMS, mas seu impacto é sistêmico: quem explora a falha ganha controle total sobre o servidor de gerenciamento, podendo reescrever políticas de VPN, injetar scripts em endpoints via fortitray.exe e forçar a execução de PowerShell codificado em base64. Isso transforma o EMS de ferramenta de gestão em vetor de ataque lateral. A CISA listou a vulnerabilidade no KEV em 6 de abril, exigindo correção imediata de agências federais, sinal de que a exploração começou antes mesmo da divulgação pública.

O EKZ infostealer, distribuído nessa campanha, não é um clone genérico: ele contorna diretamente o mecanismo de criptografia de senhas do Chrome, extrai cookies de sessão ativas e salva dados roubados localmente em log.txt dentro de ProgramData, uma técnica que aumenta a persistência e dificulta a detecção por EDRs que focam só na memória. A exfiltração ocorre via HTTP em intervalos programados para evitar tráfego anômalo constante, e o domínio falso usado (83.138.53[.]110) foi registrado há menos de 10 dias, segundo análise de WHOIS recente.

Na cobertura anterior do CEVIU, não havia menção à CVE-2026-35616 nem ao EKZ, esta é a primeira vez que a falha e o malware são documentados juntos em operação ativa. O que era rumor em meados de abril (exploração em honeypots desde 31/03) virou realidade confirmada: a Fortinet já lançou hotfixes específicos (7.4.5.2111 e 7.4.6.2170) e a CISA impôs prazo obrigatório de correção. Também é nova a confirmação de que a falha permite reconfigurar políticas de VPN remotamente, detalhe omitido em relatórios iniciais e agora observado em ambientes reais de clientes brasileiros com infraestrutura híbrida.

Empresas que usam FortiClient EMS como parte de sua estratégia de zero trust estão expostas a um paradoxo perigoso: o próprio sistema que controla o acesso seguro está sendo usado como porta de entrada para roubo massivo de credenciais. Diferente de campanhas como TrapDoor ou SEO poisoning, que dependem de engenharia social ou instalação manual, essa exploração é totalmente remota, silenciosa e não requer interação da vítima. Se o EMS estiver exposto à internet, e cerca de 2.000 instâncias ainda estão online nessa condição, a rede inteira fica em risco, inclusive endpoints com MFA ativado, pois o atacante já opera do lado de dentro do gerenciamento central.