Saldırı Zinciri: Güvendiğiniz Fortinet Yaması Aslında Zararlı Yazılım
Arctic Wolf araştırmacıları, aktif olarak istismar edilen CVE-2026-35616'yı kullanan sofistike bir kampanya tespit etti. Saldırganlar bu açığı, meşru bir Fortinet yama güncellemesi görünümü altında EKZ infostealer dağıtmak için kullanıyor.
Kampanyanın taktiksel zekası şurada: Kullanıcılar bir güvenlik açığı haberi görüyor, yamalamak istiyor ve tam bu anda sunulan sahte güncellemeyi indiriyor. Güvenlik farkındalığı tersine silah olarak kullanılıyor.
CVE-2026-35616 Nedir?
FortiClient EMS (Endpoint Management Server)'ta tespit edilen bu açık, kimliği doğrulanmamış tehdit aktörlerinin API kimlik doğrulamasını atlayarak ayrıcalıklı istekler göndermesine olanak tanıyor.
| Özellik | Detay |
|---|---|
| CVE | CVE-2026-35616 |
| Etkilenen ürün | FortiClient EMS (tüm sürümler — yamadan önceki) |
| Açık türü | Improper Access Control — API auth bypass |
| Kimlik doğrulama | Gerekmiyor (unauthenticated) |
| Aktif istismar | Evet — vahşi ortamda |
EKZ Infostealer Ne Çalıyor?
Sahte yama dosyası yüklendiğinde EKZ infostealer arka planda aşağıdakileri topluyor ve komuta-kontrol sunucusuna sızdırıyor:
- Tarayıcı kimlik bilgileri — Chrome, Edge, Firefox kayıtlı şifreler
- VPN oturum token'ları — FortiClient VPN dahil
- Tarayıcı çerezleri — aktif oturumları ele geçirir
- Kripto cüzdan verileri — extension ve dosya taraması
- Sistem bilgisi ve ekran görüntüsü — hedef profili oluşturma
Kampanyanın Dağıtım Vektörü
Saldırganlar sahte yamayı birkaç yolla sunuyor:
- SEO zehirleme: "FortiClient EMS update CVE-2026-35616" gibi aramalar için zararlı sayfalar sıralamaya sokuluyor
- Phishing e-postası: Fortinet görsel kimliğini kullanan sahte "Güvenlik Güncellemesi Zorunlu" bildirimleri
- Sosyal mühendislik: LinkedIn ve forum mesajları üzerinden IT yöneticilerine doğrudan ulaşım
Korunma Adımları
1. Resmi kanaldan yama yapın:
Fortinet yamaları yalnızca support.fortinet.com adresinden indirin. E-posta, forum veya arama sonucu bağlantısından indirilen hiçbir Fortinet dosyasını çalıştırmayın.
2. FortiClient EMS'i güncelleyin: Fortinet'in yayımladığı resmi yamaları uygulayın.
3. EMS erişimini kısıtlayın: FortiClient EMS management arayüzü internete doğrudan açık olmamalı, VPN veya güvenli ağ üzerinden erişilmeli.
4. Kimlik bilgilerini sıfırlayın: Şüpheli yükleme olduysa — VPN, e-posta, domain hesapları başta — tüm kimlik bilgilerini sıfırlayın.
5. EDR loglarını inceleyin: EKZ infostealer'ın başlangıç davranış imzaları — process injection, anormal ağ bağlantıları, credential store erişimi — EDR çözümlerinde aranabilir.
Özet
| Konu | Detay |
|---|---|
| CVE | CVE-2026-35616 — FortiClient EMS API bypass |
| Zararlı yazılım | EKZ Infostealer — kimlik bilgisi, VPN token, çerez çalıyor |
| Dağıtım yöntemi | Sahte Fortinet yama dosyası |
| Önlem | Resmi yama + EMS erişim kısıtlaması + kimlik bilgisi sıfırlama |