"INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain." Con queste parole, Douglas McKee, director of vulnerability intelligence presso Rapid7, ha definito il quadro di una campagna che trasforma l'appliance VPN da perimetro difensivo a ponte non monitorato verso l'infrastruttura di dominio interna.
INC Ransomware è emerso come attore dominante nello sfruttamento in catena di due zero-day nei dispositivi SonicWall SMA 1000. L'exploitation attiva pre-disclosure è iniziata il 22 giugno 2026. L'attacco consente accesso root non autenticato, furto di credenziali, sessioni e seed TOTP, poi movimento laterale verso controller di dominio senza tunnel VPN attivo.
- CVE-2026-15409 (SSRF pre-auth, CVSS 10.0) e CVE-2026-15410 (code injection, CVSS 7.2) concatenate per accesso root non autenticato su SonicWall SMA 1000
- L'exploitation pre-disclosure è iniziata il 22 giugno 2026; patch SonicWall rilasciate il 14 luglio 2026, con CISA KEV e scadenza remediation 17 luglio
- Gli attaccanti hanno rubato database di sessione e seed TOTP, rendendo necessaria la ri-registrazione MFA completa indipendentemente dal reset password
- Rapid7 ha osservato autenticazioni Active Directory anomali direttamente dall'IP interno dell'appliance con nomi client 'kali', confermando movimento laterale senza VPN
885 — Vittime totali storiche attribuite a INC Ransomware secondo Ransomware.Live al 3 agosto 2026. Il dato non è specifico alla campagna SonicWall.
La catena che trasforma un SSRF in controllo dell'appliance
CVE-2026-15409 è una Server-Side Request Forgery pre-autenticazione nel componente /wsproxy dell'interfaccia SMA Work Place, con punteggio CVSS 10.0 secondo il record NVD con assessment CISA-ADP. Resecurity documenta che questa falla apre un tunnel WebSocket verso servizi localhost-only normalmente inaccessibili dall'esterno.
Da questa posizione, l'attaccante raggiunge CVE-2026-15410, una vulnerabilità di code injection nel workflow remove_hotfix di ctrl-service nella SMA 1000 Appliance Management Console, con CVSS 7.2 secondo NVD. La concatenazione delle due fallte, documentata da Volexity e Resecurity, eleva i privilegi da remoto e non autenticato fino a root.
Il risultato è accesso completo all'appliance VPN, che Rapid7 ha osservato agire come ponte verso l'infrastruttura di directory interna.
Exploitation pre-disclosure: la finestra invisibile
Volexity ha tracciato il cluster di attività UTA0533 con exploitation attiva dal 22 giugno 2026. SonicWall ha rilasciato le patch il 14 luglio, nella stessa giornata in cui CISA ha aggiunto entrambi i CVE al catalogo KEV con scadenza remediation fissata al 17 luglio per le agenzie federali secondo il BOD 26-04.
Brett Deroche, director of incident response presso Rapid7, ha riferito che gli attaccanti hanno mantenuto la persistenza "rolling the newly applied patch back to a vulnerable state to maintain access". Questo comportamento, citato da Dark Reading, rende esplicito che il patching post-compromissione non equivale a eviction completa.
Le versioni che correggono le vulnerabilità sono la 12.4.3-03453 e la 12.5.0-02835 o superiori, secondo l'advisory SonicWall riportato da The Hacker News.
Il furto di seed TOTP e il fallimento della MFA come remediation
Jacob Krell, senior director di Suzu Labs, ha dichiarato a SC World che "the attackers stole session databases and the TOTP seeds that generate one-time codes. Password resets don't evict them. Any user who authenticated through a compromised appliance needs full MFA re-enrollment from scratch".
Questo dettaglio altera il paradigma operativo: la multi-factor authentication, tipicamente invocata come controllo di remediation post-breach, richiede invece ricostruzione completa. Gli attaccanti con i seed TOTP possono generare codici validi indipendentemente dalle credenziali resettate.
La conseguenza pratica è che la rimediazione non è un ciclo di patch e reset password, ma un progetto di identità che tocca ogni utente con sessioni attraverso l'appliance compromessa.
L'attore, le vittime e le tattiche di pressione
Douglas McKee ha affermato che INC Ransomware è "the dominant threat actor actively weaponizing this vulnerability chain". Secondo Resecurity, sono state osservate vittime in Australia, Stati Uniti, Emirati Arabi Uniti, Colombia, Svizzera e altri paesi.
Il gruppo ha accelerato l'attività a inizio agosto 2026, con nuove vittime pubblicate sul data leak site tra il 17 luglio e il 1 agosto. Il numero di 885 vittime totali rappresenta il conteggio storico del gruppo, non specifico a questa campagna.
Resecurity ha documentato tattiche di pressione telefonica da un individuo che si faceva chiamare 'Andrew' al numero +1 (304) 384-0401, con indirizzo email info@helprans[.]com. Il dominio è risultato registrato dopo l'incidente tramite registrar cinese che accetta pagamenti in criptovaluta.
I malware osservati nel report originale di Resecurity includono ROOTRUN, KNUCKLEBALL (script Python per il lancio di Suo5), Suo5 stesso (proxy HTTP open-source), e ORANGETAIL (web shell Java con analogie a Behinder).
Cosa fare adesso
Eviction forense prima del patching. Secondo Brett Deroche di Rapid7, "a comprehensive forensic review of the firewall is required to ensure complete eviction". L'appliance va considerata compromessa fino a verifica, non semplicemente da aggiornare.
Ri-enrollment MFA completo. Secondo Jacob Krell di Suzu Labs, ogni utente con autenticazione attraverso l'appliance compromessa richiede "full MFA re-enrollment from scratch". I reset password da soli non rimuovono l'accesso degli attaccanti.
Ricerca di autenticazioni AD anomale dall'IP interno dell'appliance. Secondo Rapid7, sono state osservate autenticazioni Active Directory anomale direttamente dall'IP interno dell'appliance con nomi client atipici come 'kali', confermando movimento laterale senza tunnel VPN attivo.
Monitoraggio del rollback patch. Secondo Brett Deroche di Rapid7, gli attaccanti hanno dimostrato capacità di "rolling the newly applied patch back to a vulnerable state to maintain access". Le operazioni di patching vanno accompagnate da verifica dell'integrità della versione installata.
Analisi
La campagna segnala uno spostamento qualitativo nel modo in cui gli attori ransomware trattano le appliance di perimetro: non più bersagli per l'accesso iniziale, ma piattaforme di persistenza con visibilità diretta sulle directory interne. Questa ricalibrazione architetturale impone alle difese di re-implementare il monitoraggio interno come se il perimetro fosse già compromesso.
Non è chiaro se UTA0533 e INC Ransomware siano la stessa entità o se INC abbia acquisito l'accesso iniziale da broker. Il brief non chiarisce questo punto.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.scworld.com/news/inc-ransomware-chains-two-sonicwall-sma-1000-zero-days-in-attacks
- https://www.darkreading.com/vulnerabilities-threats/inc-ransomware-exploits-sonicwall-sma-zero-days
- https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
- https://thehackernews.com/2026/07/two-sonicwall-sma-1000-zero-days.html
- https://www.securityweek.com/recent-sonicwall-vulnerabilities-exploited-in-ransomware-attacks/
- https://www.resecurity.com/blog/article/from-wsproxy-to-root-inc-ransomware-and-sonicwall-sma-exploit-chain
- https://nvd.nist.gov/vuln/detail/CVE-2026-15409
- https://nvd.nist.gov/vuln/detail/CVE-2026-15410
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog