FortiClient EMS actief aangevallen, EU-Commissie getroffen door 350GB-datalek, Russische CTRL-toolkit blootgelegd, Chinese APT-clusters treffen Zuidoost-Azië

Security Briefing Een kritieke SQL-injectiekwetsbaarheid in Fortinet FortiClient EMS (CVE-2026-21643) wordt actief uitgebuit. ShinyHunters claimt een enorme diefstal van 350GB data uit de AWS-omgeving van de Europese Commissie. Censys ontdekt een voorheen onbekende Russische .NET-toolkit voor externe toegang die RDP-sessies kaapt. Drie aan China gelieerde dreigingsclusters richten zich gelijktijdig op een overheid in Zuidoost-Azië.

🔴 FortiClient EMS CVE-2026-21643 — actieve exploitatie bevestigd

Threat-intelligencebedrijf Defused bevestigde dat aanvallers CVE-2026-21643 al minstens vier dagen uitbuiten, ook al hebben CISA en andere KEV-lijsten het nog niet gemarkeerd als actief uitgebuit. De fout bevindt zich in de web-GUI van FortiClient EMS, waar aanvallers SQL-statements kunnen smokkelen via de Site-header in HTTP-verzoeken.

Kernpunten

• CVE: CVE-2026-21643 — SQL-injectie leidend tot ongeauthenticeerde RCE
• Getroffen: FortiClient EMS-versie 7.4.4
• Oplossing: Upgrade naar FortiClient EMS 7.4.5 of hoger
• Blootstelling: ~1.000 publiekelijk blootgestelde instanties (Shodan), 2.000+ getraceerd door Shadowserver — de meeste in de VS en Europa
• Ontdekking: Gwendal Guégniaud, Fortinet Product Security-team

Fortinet-kwetsbaarheden zijn een blijvende favoriet voor ransomwarebendes en staatsgesponsorde spionagegroepen. CISA heeft tot nu toe 24 Fortinet-kwetsbaarheden gemarkeerd als actief uitgebuit, waarvan 13 direct gekoppeld aan ransomwarecampagnes. Als u FortiClient EMS draait, is dit een laat-alles-vallen-en-patch-situatie.

🏛️ Europese Commissie bevestigt massaal datalek — ShinyHunters claimt diefstal van 350GB

De Europese Commissie bevestigde vrijdag dat het Europa.eu-webplatform was gehackt, waarbij de afpersingsbende ShinyHunters verantwoordelijkheid opeiste. De groep zegt meer dan 350 GB aan data te hebben geëxfiltreerd voordat de toegang werd ingetrokken, inclusief databases, mailserverdumps, vertrouwelijke contracten en werknemersinformatie.

Wat er is gestolen

• Databasedumps van mailservers
• Vertrouwelijke documenten en contracten
• Persoonlijke gegevens van werknemers (screenshots geleverd als bewijs)
• Meer dan 90GB al gepubliceerd op de dark-web-lekssite van ShinyHunters

De Commissie verklaart dat haar interne systemen niet zijn getroffen en dat zij getroffen EU-entiteiten op de hoogte brengt. Dit is de nieuwste geruchtmakende buit van ShinyHunters — de groep heeft recentelijk inbreuken geclaimd bij Infinite Campus, CarGurus, Canada Goose, Panera Bread, Betterment, SoundCloud, PornHub, en Match Group (Tinder, Hinge, OkCupid). Veel van deze slachtoffers vielen ten prooi aan een grootschalige voice-phishingcampagne gericht tegen SSO-accounts bij Okta, Microsoft en Google bij meer dan 100 organisaties.

🇷🇺 Russische CTRL-toolkit — nieuwe .NET-RAT kaapt RDP via FRP-tunnels

Onderzoekers van Censys hebben een voorheen ongedocumenteerde toolkit van Russische oorsprong voor externe toegang onthuld, genaamd CTRL, teruggevonden in een open directory op 146.19.213[.]155 in februari 2026. Het is een op maat gebouwd .NET-framework ontworpen voor volledig-spectrum operaties voor externe toegang.

Aanvalsketen

1. Slachtoffer ontvangt een gewapend LNK-bestand vermomd als een "Private Key"-map
2. Dubbelklikken activeert verborgen PowerShell, dat bestaande persistentie wist en een in-memory stager laadt
3. Stager maakt verbinding met hui228[.]ru:7000, downloadt CTRL-payloads
4. Wijzigt firewallregels, creëert backdoor-lokale gebruikers, stelt persistentie in via geplande taken
5. Start een cmd.exe-shellserver op poort 5267 getunneld via Fast Reverse Proxy (FRP)

Mogelijkheden

• Diefstal van inloggegevens: Een WPF-applicatie imiteert Windows Hello-PIN-verificatie — blokkeert Alt+Tab/Alt+F4-ontsnappingspogingen en herhaalt de lus voor het slachtoffer totdat een geldige PIN wordt vastgelegd
• Keylogging: Achtergrondservice installeert toetsenbordhooks, logt naar C:\Temp\keylog.txt
• RDP-kaping: Werkt via named pipes zodat al het C2-verkeer lokaal blijft — alleen de RDP-sessie doorkruist het netwerk
• Dual-mode-ontwerp: Kan draaien als server (op slachtoffer) of client (via getunnelde RDP), met communicatie via Windows named pipes

De verfijning van de toolkit — in het bijzonder de phishing-UI voor inloggegevens die Windows Hello imiteert en de named-pipe-architectuur die netwerkdetectie omzeilt — wijst op een goed uitgeruste dreigingsactor.

🇨🇳 Drie aan China gelieerde APT-clusters convergeren op overheid in Zuidoost-Azië

Unit 42 van Palo Alto Networks heeft onthuld dat drie afzonderlijke aan China gelieerde dreigingsactiviteitclusters gedurende 2025 gelijktijdig één overheidsorganisatie in Zuidoost-Azië als doelwit hadden, in wat zij omschrijven als een "complexe en goed uitgeruste operatie".

De drie clusters

De convergentie van drie afzonderlijke APT-clusters op één doelwit suggereert gecoördineerde of op zijn minst strategisch afgestemde operaties — een kenmerk van het Chinese inlichtingenapparaat. Mustang Panda gebruikte op USB gebaseerde malware (HIUPAN) om backdoors af te leveren, terwijl de andere clusters meer geavanceerde fileless-technieken inzetten, waaronder de EggStreme-loaderfamilie en de Hypnosis Loader.

📋 Snel nieuws

🛡️ Aanbevolen acties

1. FortiClient EMS: Patch onmiddellijk naar versie 7.4.5+. Controleer op indicatoren van compromittering op blootgestelde instanties.
2. EU-Commissie-datalek: Organisaties die interactie hebben met Europa.eu-diensten moeten monitoren op hergebruik van inloggegevens en phishingpogingen met gestolen werknemersgegevens.
3. CTRL-toolkit IOC's: Blokkeer 146.19.213[.]155 en hui228[.]ru. Speur naar verdachte LNK-bestanden, FRP-tunnelingactiviteit en afwijkende named-pipe-communicatie.
4. Chinese APT-clusters: Overheidsinstanties in Zuidoost-Azië moeten scannen op HIUPAN USB-malware-artefacten, EggStreme-loaderhandtekeningen en FluffyGh0st-indicatoren.
5. PyPI-toeleveringsketen: Audit elk project dat gebruikmaakt van het telnyx Python-pakket — zorg voor versie 4.87.0 of eerder. Controleer op WAV-bestandsgebaseerde payload-indicatoren.