A zsarolóvírus-támadók aktívan kihasználnak két, nemrég javított SonicWall Secure Mobile Access 1000 sebezhetőséget, amelyek segítségével root szintű hozzáférést szerezhetnek az internet felől elérhető távoli hozzáférési eszközökön, hitelesítő adatokat lophatnak, majd mélyebbre juthatnak a vállalati hálózatokban.
Az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) frissítette a Known Exploited Vulnerabilities (KEV) katalógusát, és a CVE-2026-15409, valamint a CVE-2026-15410 sérülékenységeket zsarolóvírus-kampányokban kihasznált sebezhetőségként jelölte meg.
Mindkét hibát már július 14-én felvették a katalógusba, miután megerősítést nyert, hogy a támadók zero-day sérülékenységként használták ki őket.
A változás jelentősen növeli a helyzet sürgősségét a SonicWall SMA1000 eszközöket üzemeltető szervezetek számára. Ezeket a rendszereket jellemzően a nyilvános internet és az érzékeny belső vállalati hálózatok határán helyezik el, ahol alkalmazottaknak, alvállalkozóknak és rendszergazdáknak biztosítanak távoli hozzáférést a vállalati alkalmazásokhoz.
Egy sikeres kompromittálás ezért jóval többet jelent egyetlen szerver feletti irányítás megszerzésénél. A támadó egy olyan megbízható biztonsági átjáró belsejébe kerülhet, amely hitelesítési adatokat dolgoz fel, aktív felhasználói munkameneteket tart fenn, és közvetlenül kommunikál az identitáskezelési infrastruktúrával, például Active Directory- és LDAP-szerverekkel.
A biztonsági kutatók a nyilvánosságra hozatalt követő legagresszívebb támadásokat az INC ransomware műveleteihez kapcsolták. A korábbi támadásokból összegyűjtött bizonyítékok azonban arra utalnak, hogy egynél több fenyegetési szereplő használhatta ki a sérülékenységeket, ezért nem minden behatolás tulajdonítható ennek a zsarolóvírus-csoportnak.
A CISA ransomware-megjelölése azt erősíti meg, hogy a sebezhetőségeket a zsarolóvírus-támadási folyamat valamely szakaszában ténylegesen felhasználták. Az ügynökség nyilvános katalógusa ugyanakkor nem nevez meg konkrét csoportot, nem közli az érintett szervezetek számát, és azt sem állítja, hogy minden észlelt kihasználási kísérlet végül adattitkosításhoz vezetett.
A Rapid7 incidenskezelési igazgatója, Brett Deroche szerint az INC vált a nyilvánosságra hozatalt követő támadásokkal leggyakrabban összefüggésbe hozott fenyegetési szereplővé. Ugyanakkor hangsúlyozta, hogy nem tulajdonítható minden rosszindulatú aktivitás ennek a csoportnak.
A Rapid7 legalább egy vizsgált incidensben sikeres ransomware-telepítést is megfigyelt, bár a vállalat incidenskezelői az általuk látott esetek többségében meg tudták akadályozni az adatlopást vagy a titkosítást.
Két sérülékenység nyit utat az internettől egészen a root jogosultságig
A támadási lánc egy maximális súlyosságú server-side request forgery (SSRF) sérülékenységet kombinál egy különálló parancsinjektálási és jogosultságkiterjesztési hibával.
A CVE-2026-15409 CVSS-pontszáma 10,0, és a sérülékeny SMA1000 eszközök WorkPlace webes felületét érinti.
A hiba lehetővé teszi egy hitelesítés nélküli távoli támadó számára, hogy visszaéljen az eszköz /wsproxy funkciójával, és WebSocket-alagutat hozzon létre olyan szolgáltatásokhoz, amelyeknek normál esetben kizárólag helyileg kellene elérhetőnek lenniük.
Ez azért különösen fontos, mert az eszköz loopback interfészéhez kötött szolgáltatásokat rendszerint azzal a feltételezéssel tervezik, hogy azok közvetlenül nem érhetők el az internetről. A támadó azonban az SMA eszközt proxyként használva átlépheti ezt a biztonsági határt.
A kutatók szerint így elérhetővé válhatnak az eszköz CouchDB-hez kapcsolódó szolgáltatásai, valamint a 8188-as porton figyelő privilegizált vezérlőszolgáltatás is.
Ezeket eredetileg soha nem szánták a nyilvános támadási felület részének, a CVE-2026-15409 azonban gyakorlatilag távolról elérhető célpontokká változtatja őket.
A CVE-2026-15410, amely 7,2-es CVSS-pontszámot kapott, a SonicWall meghatározása szerint az Appliance Management Console kódinjektálási sérülékenysége.
Önmagában a hivatalos leírás szerint a kihasználás rendszergazdai hitelesítést és meghatározott feltételeket igényel. A megfigyelt támadási láncban azonban a támadók először a CVE-2026-15409 segítségével érték el az eszköz belső szolgáltatásait, és alacsonyabb jogosultságú hozzáférést szereztek.
Ezt követően egy, a hotfix eltávolítási folyamatában található path traversal gyengeséget használhattak ki. A támadó által vezérelt könyvtárbejárási szekvenciák segítségével ki lehetett lépni az eredetileg engedélyezett rollback könyvtárból, majd egy máshol elhelyezett támadói szkriptet lehetett root jogosultsággal végrehajtatni.
A Rapid7 egymástól függetlenül reprodukálta a hitelesítés nélküli hozzáféréstől a privilegizált parancsvégrehajtásig vezető útvonalat.
A kutatók megállapították, hogy a CVE-2026-15409 segítségével alagút hozható létre az eszköz helyi Erlang szolgáltatásához, és kódfuttatás érhető el CouchDB-felhasználóként. Ezután a CVE-2026-15410 kihasználásával a privilegizált remove_hotfix munkafolyamaton keresztül root szintre emelhető a hozzáférés.
A két sebezhetőség együtt tehát gyakorlatilag hitelesítés nélküli távoli kódfuttatási láncot eredményezhet.
A root hozzáférés széles körű ellenőrzést biztosíthat az eszköz felett: a támadó fájlokat vizsgálhat, konfigurációkat módosíthat, perzisztenciát alakíthat ki, forgalmat figyelhet meg, és a megbízható hálózati eszközt kiindulópontként használhatja további belső támadásokhoz.
A zero-day támadások hetekkel a nyilvánosságra hozatal előtt elkezdődtek
A SonicWall július 14-én hozta nyilvánosságra a sérülékenységeket és adta ki a javításokat. A támadók azonban ekkor már több hete aktívan kihasználták a hibákat.
A Volexity a SonicWall SMA eszközökről kiinduló gyanús hitelesítési és oldalirányú mozgási aktivitás vizsgálata során fedezte fel a kampányt.
A naplók, memóriaadatok és lemezképek kriminalisztikai elemzése alapján a kompromittálás első bizonyítékai június 22-ig nyúltak vissza.
A vállalat az aktivitást ideiglenesen UTA0533 néven kezdte követni. Ez nem egy konkrét bűnözői vagy állami csoport végleges azonosítása, hanem egy ideiglenes jelölés, amelyet addig használnak, amíg a támadó személyazonosságát, motivációját és kapcsolatait vizsgálják.
Az időzítés azt jelenti, hogy a sérülékeny szervezetek körülbelül háromhetes időszakban úgy voltak támadhatók, hogy nyilvánosan elérhető javítás még nem létezett.
Ez egyben azt is jelenti, hogy egy július 14-én vagy közvetlenül utána frissített rendszerben továbbra is jelen lehetnek korábban létrehozott támadói fiókok, módosított konfigurációk, ellopott hitelesítő adatok vagy perzisztens kártevők.
Ezért hangsúlyozza a SonicWall és több incidenskezelő vállalat is, hogy a javítás önmagában nem elegendő: forenzikus vizsgálatra is szükség lehet.
Egyedi kártevőket rejtettek el a VPN-eszközökben
A Volexity megállapította, hogy az UTA0533 kifejezetten SonicWall SMA eszközökön történő működésre kialakított kártevőket telepített.
Az eszközkészlet többek között a következő komponenseket tartalmazta:
- KNUCKLEBALL
- ROOTRUN
- Suo5
- ORANGETAIL
A ROOTRUN egy xzfind nevű set-user-ID binárisként került telepítésre, amely lehetőséget biztosított egy alacsony jogosultságú folyamatnak arra, hogy tetszőleges parancsokat root jogosultsággal indítson.
A KNUCKLEBALL egy Python-alapú betöltő volt, amelyet a következő helyen tároltak:
/usr/lib/python3.11/site-packages/deploy_new.py
A támadók módosították a legitim WorkPlace indítási folyamatát, így a szkript az eszköz indulásakor automatikusan végrehajtódott, ezzel biztosítva a perzisztenciát az újraindításokon keresztül.
A betöltő két beágyazott Java-archívumot tartalmazott. Az egyik a Suo5 módosított változatát hordozta, amely HTTP proxy-forwarding eszközként lehetővé tette a forgalom továbbítását a kompromittált eszközön keresztül.
A másik az ORANGETAIL nevű egyedi Java web shellt tartalmazta, amely hasonlóságot mutatott a Behinder kártevőcsaláddal.
A támadók az NGINX Unit konfigurációját is módosították, hogy látszólag legitim útvonalakat irányítsanak a rosszindulatú komponensekhez, például:
/__api__/login
és
/__api__/logout
Ez lehetővé tette, hogy a támadók a nyilvános webes interfészen keresztül érjék el a hátsó kapukat, miközben elrejtették azok valódi célját.
A Volexity több mint 200 különböző forrás-IP-címet azonosított, amelyek között kereskedelmi VPN-szolgáltatásokhoz kapcsolódó infrastruktúra is szerepelt. Emiatt az egyedi IP-címek egyszerű blokkolása önmagában nem jelent megfelelő védelmet.
Hitelesítő adatokat, munkameneteket és hitelesítési titkokat céloztak
A ransomware-kockázat messze túlmutat magának az SMA eszköznek a titkosításán.
A Rapid7 megfigyelése szerint a támadók nagy értékű hitelesítő adatokat, aktív munkamenet-adatbázisokat és időalapú egyszer használatos jelszavakhoz (TOTP) kapcsolódó konfigurációs adatokat is megszereztek.
A cél olyan hozzáférési lehetőségek megszerzése volt, amelyek a hagyományos helyreállítás után is alternatív belépési pontot biztosíthatnak a vállalati hálózatba.
A kutatók gyanús, tartományvezérlők felé irányuló hitelesítéseket is észleltek, amelyek a kompromittált SMA eszközök belső IP-címeiről érkeztek, miközben nem tartozott hozzájuk megfelelő aktív VPN-munkamenet.
A Volexity bizonyítékokat talált arra is, hogy az UTA0533 a tcpdump segítségével titkosítatlan LDAP-forgalmat rögzített.
Ha egy szervezet titkosítás nélküli LDAP-hitelesítést használ, az eszköz felett ellenőrzést szerző támadó elfoghatja azokat a felhasználóneveket és jelszavakat, amelyek a távoli hozzáférési átjáró és a belső címtárkiszolgálók között haladnak.
Ez világosan mutatja, hogy egy internet felől elérhető VPN-eszköz kompromittálása nem kezelhető elszigetelt eszközincidensként. Potenciális, teljes vállalati identitás- és hálózati incidensként kell kivizsgálni.
Az INC ransomware rendkívül gyorsan halad a kezdeti hozzáférés után
Az INC ransomware-as-a-service modellben működik: a központi fejlesztők biztosítják a kártevőt és a zsarolási infrastruktúrát, míg az affiliate partnerek hajtják végre a tényleges behatolásokat.
Sok modern ransomware-csoporthoz hasonlóan az INC is kettős zsarolási stratégiát alkalmaz: a támadók a rendszerek titkosítása előtt adatokat lopnak, majd azok nyilvánosságra hozatalával fenyegetik az áldozatot, ha nem fizet váltságdíjat.
A Rapid7 különbséget észlelt a legkorábbi zero-day támadások és a később az INC-hez kapcsolt aktivitás között.
A június 22-én kezdődő korai támadások széles körben elérhető hosztolt infrastruktúrát használtak, és nem mindig tudtak továbblépni magáról az eszközről.
A nyilvánosságra hozatalt követően megfigyelt INC-támadások azonban más infrastruktúrát használtak, és sokkal gyorsabban haladtak a kezdeti hozzáféréstől az adatlopásig és a ransomware telepítéséig.
Ez arra utalhat, hogy a sérülékenységek a korlátozott zero-day használatból a technikai részletek nyilvánosságra kerülését követően szélesebb bűnözői ökoszisztémába kerültek.
Érintett SMA1000 eszközök és javított verziók
A sérülékenységek a következő SMA1000 modelleket érintik:
- SMA 6210
- SMA 7210
- SMA 8200v
- Central Management Server
A problémák a 12.4.3 és 12.5.0 firmware-ágak meghatározott verzióiban találhatók.
Érintett 12.4.3 verziók:
- 12.4.3-03245
- 12.4.3-03387
- 12.4.3-03434
Érintett 12.5.0 verziók:
- 12.5.0-02283
- 12.5.0-02624
- 12.5.0-02800
A SonicWall a hibákat az alábbi verziókban javította:
- 12.4.3-03453
- 12.5.0-02835
A szervezeteknek ezeket vagy az ezeknél újabb verziókat kell telepíteniük.
A vállalat szerint a hibák nem érintik az SMA 100 termékcsaládot, valamint a SonicWall tűzfalakba integrált SSL VPN funkciót.
Ezért fontos a pontos termékcsalád és a telepített platform-hotfix verzió ellenőrzése.
A frissítés önmagában nem feltétlenül távolítja el a támadót
A hotfix telepítése megakadályozhatja a két sérülékenység újabb kihasználását, azonban nem távolítja el automatikusan a korábban telepített kártevőket, nem vonja vissza a konfigurációmódosításokat, és nem érvényteleníti a már ellopott hitelesítő adatokat.
A szervezeteknek ezért érdemes megvizsgálniuk az extraweb_access.log állományt a gyanús /wsproxy kérések után kutatva, különösen azokat, amelyek HTTP 101 státuszkóddal végződtek és szokatlan host paramétereket tartalmaztak.
A következő útvonalakra érkező, HTTP 200 választ eredményező kéréseket is ki kell vizsgálni:
/__api__/login
/__api__/logout
A ctrl-service.log állományban érdemes olyan „hotfix removal” bejegyzéseket keresni, amelyek könyvtárbejárási szekvenciákat vagy ideiglenes könyvtárakban található szkriptekre való hivatkozásokat tartalmaznak.
Szintén ellenőrizendő:
/var/lib/unit/conf.json
valamint:
/tmp
és
/var/tmp
A vizsgálat során ismeretlen futtatható állományokat, szkripteket, csomagrögzítési fájlokat, váratlan set-user-ID binárisokat és módosított WorkPlace indítófájlokat kell keresni.
A tartományvezérlők naplóiban pedig az SMA belső IP-címéről származó olyan hálózati bejelentkezéseket kell ellenőrizni, amelyekhez nem tartozik legitim VPN-munkamenet.
Amennyiben kompromittálásra utaló bizonyítékot találnak, a SonicWall a fizikai eszközök újraimagingelését, illetve a virtuális eszközök újbóli telepítését javasolja a helyben történő tisztítás helyett.
Ezenfelül indokolt lehet:
- a felhasználói és rendszergazdai jelszavak cseréje;
- a TOTP-tokenek alaphelyzetbe állítása;
- a szolgáltatásfiókok hitelesítő adatainak rotálása;
- az aktív VPN-munkamenetek felülvizsgálata;
- API-kulcsok, tanúsítványok és egyéb hitelesítési adatok kompromittáltnak tekintése;
- titkosítatlan LDAP esetén titkosított LDAP-kommunikációra történő átállás.
A konfigurációs biztonsági mentések szintén kockázatot jelenthetnek. Megerősített kompromittálás esetén a SonicWall csak olyan mentések használatát javasolja, amelyek a decemberi platform-hotfixek – 12.4.3-03245 és 12.5.0-02283 – telepítése előtt készültek.
Ha ilyen tiszta mentés nem áll rendelkezésre, a visszaállított konfigurációt alaposan át kell vizsgálni a támadó által létrehozott módosítások után.
A CISA által meghatározott határidő már lejárt
A CISA július 14-én vette fel mindkét sérülékenységet a Known Exploited Vulnerabilities (KEV) katalógusába, és az amerikai szövetségi polgári végrehajtó szervek számára július 17-i javítási határidőt határozott meg.
Ez a határidő már lejárt, a KEV-katalógust azonban az amerikai kormányzaton kívül is széles körben használják a sebezhetőségek prioritásának meghatározására.
Az, hogy a CISA a hibákat immár ransomware-kampányokhoz is kapcsolja, további bizonyíték arra, hogy a magánszektorban működő szervezeteknek is incidenskezelési prioritásként kell kezelniük minden olyan SMA1000 eszközt, amely javítatlan, vagy korábban a nyilvános internet felől elérhető volt.
Az eset ismét rámutat arra, hogy a zsarolóvírus-csoportok kiemelten célozzák a VPN-koncentrátorokat, tűzfalakat és más peremhálózati eszközöket.
Ezeket a rendszereket a hagyományos endpoint detection megoldásokkal nehéz felügyelni, a belső infrastruktúra gyakran megbízható eszközként kezeli őket, miközben pontosan azokat a hitelesítő és munkamenet-adatokat tárolják vagy továbbítják, amelyekre a támadóknak szükségük van a további behatoláshoz.
A legfontosabb tanulság ezért az, hogy a júliusi hotfix telepítése csak a védekezés első lépése.
Minden olyan érintett SMA1000 eszköz, amely a frissítés előtt elérhető volt az internetről, potenciálisan támadható volt a zero-day időszakban. Ezeknél nem elegendő annak ellenőrzése, hogy jelenleg már biztonságos firmware fut-e rajtuk.
Szükség lehet a korábbi naplók elemzésére, az identitások és hitelesítő adatok helyreállítására, valamint annak kivizsgálására is, hogy történt-e oldalirányú mozgás a vállalati hálózatban.
