INC Ransomware ha concatenato due zero-day in SonicWall SMA 1000 per ottenere accesso persistente a livello root su appliance VPN internet-facing, con exploit pre-disclosure documentato dal 22 giugno 2026. La campagna, tracciata inizialmente da Volexity come UTA0533, ha colpito vittime in almeno cinque nazioni tra cui Stati Uniti, Australia, Emirati Arabi Uniti, Colombia e Svizzera, con vittime pubblicate sul data leak site di INC tra il 17 luglio e il primo agosto. La disclosure di SonicWall è avvenuta il 14 luglio 2026; CISA ha aggiunto entrambe le vulnerabilità al catalogo Known Exploited Vulnerabilities con due date di remediation fissate al 17 luglio.
- CVE-2026-15409 (CVSS 10.0, SSRF pre-auth) e CVE-2026-15410 (CVSS 7.2, path traversal/code injection) formano una catena che converte accesso remoto non autenticato in esecuzione root su appliance SonicWall SMA 1000.
- L'exploit pre-disclosure è iniziato il 22 giugno 2026, oltre tre settimane prima della patch SonicWall del 14 luglio, con malware toolkit ROOTRUN osservato su disco in quella stessa data.
- Gli attaccanti hanno rubato database di sessione e seed TOTP MFA: i reset password da soli non espellono l'attore, richiedendo re-enrollment MFA completo per ogni utente che ha autenticato tramite appliance compromessa.
- Rapid7 ha confermato pivoting diretto da appliance compromesse verso Active Directory interno via autenticazioni NTLM, oltre alla capacità degli attaccanti di effettuare rollback patch per mantenere l'accesso.
La catena d'attacco: da SSRF pre-auth a root via WebSocket e path traversal
Il punto di ingresso è CVE-2026-15409, una Server-Side Request Forgery pre-authentication nel endpoint /wsproxy di SonicWall SMA 1000. L'exploit richiede un User-Agent specifico, "SMA Connect Agent", e il parametro bmID=-3389 per aprire un tunnel WebSocket verso servizi localhost-only normalmente inaccessibili dall'esterno.
Da questa posizione, l'attore interagisce con CouchDB sulla porta 1050 per lo staging del payload in /tmp, quindi sfrutta CVE-2026-15410 nel workflow remove_hotfix del ctrl-service (porta 8188). Il vettore è un path traversal in POST /rollbackConfirm.action che consente esecuzione di codice come root. Il record NVD per CVE-2026-15409 riporta CVSS 10.0 con vettore AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H; CVE-2026-15410 ha CVSS 7.2 con vettore AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, secondo i rispettivi record ufficiali con assessment CISA-ADP.
Il malware toolkit post-exploitation documentato include ROOTRUN, backdoor setuid osservata per la prima volta il 22 giugno 2026; KNUCKLEBALL, loader Python per injection nella JVM dell'appliance; Suo5, tunnel HTTP per comunicazioni occultate; e ORANGETAIL, web shell Java. La complessità dello stack software dell'appliance — JVM, CouchDB, Erlang, NGINX Unit — amplia la superficie di attacco e complica la forensics post-compromissione.
Il furto di seed MFA e il fallimento del reset password
La compromissione di una appliance VPN al confine di fiducia espone non solo sessioni attive ma le credenziali stesse del meccanismo di autenticazione secondario. Jacob Krell di Suzu Labs, citato da SecurityWeek, ha dichiarato testualmente: "The attackers stole session databases and the time-based one-time password (TOTP) seeds that generate one-time codes. Password resets don't evict them. Any user who authenticated through a compromised appliance needs full MFA re-enrollment from scratch".
Questo elemento trasforma la portata dell'incidente: l'appliance compromessa non è più un punto di ingresso isolabile, ma un generatore di credenziali valide per l'intera infrastruttura. Rapid7 ha inoltre confermato pivoting diretto verso domain controller interni tramite autenticazioni NTLM, bypassando la necessità di una connessione VPN per muoversi lateralmente.
"We observed the threat actor maintaining persistence and rolling the newly applied patch back to a vulnerable state to maintain access. A comprehensive forensic review of the firewall is required to ensure complete eviction."
— Brett Deroche, director of incident response at Rapid7
La persistenza post-patch: quando il patching non basta
L'osservazione di Rapid7 sul rollback patch da parte degli attaccanti introduce un vincolo operativo severo: l'applicazione della patch senza verifica forensica completa può dare un senso di sicurezza ingannevole mentre l'attore mantiene l'accesso. La raccomandazione implicita nelle fonti — mai enunciata come formula generica ma dedotta dall'evidence documentata — è che le appliance internet-facing richiedano assume compromise: re-imaging da firmware pulito, non semplice patching.
Il dato è coerente con la natura del malware osservato. ROOTRUN come backdoor setuid sopravvive a molte procedure di aggiornamento; KNUCKLEBALL opera a livello JVM, rendendo difficile la rilevazione senza analisi della memoria del processo. La combinazione suggerisce che gli operatori abbiano progettato la persistenza per resistere alle contromisure standard.
INC Ransomware: attori, numeri e timeline
Douglas McKee, director of vulnerability intelligence a Rapid7, ha confermato che "a single threat actor or coordinated group is responsible for discovering and exploiting this zero-day vulnerability", aggiungendo che "INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain". La sintesi di Resecurity, riportata da multiple fonti, identifica INC come gruppo dominante nella campagna dalla metà di luglio 2026.
Il totale di 885 vittime rivendicate da INC Ransomware su Ransomware.Live al 3 agosto 2026 — riportato da The Hacker News — rappresenta il volume storico del gruppo, non il conteggio specifico di questa campagna SonicWall. La relazione tra il cluster UTA0533 di Volexity e INC Ransomware resta basata su TTP overlap; non emergono sovrapposizioni infrastrutturali che colleghino definitivamente i due cluster allo stato attuale.
Cosa fare adesso
- Applicare immediatamente le patch SonicWall per CVE-2026-15409 e CVE-2026-15410, entrambe nel catalogo CISA KEV dal 14 luglio 2026 con remediation due date 17 luglio.
- Presupposto di compromissione per ogni appliance SMA 1000 internet-facing: eseguire re-imaging da firmware pulito anziché patching in-place, data la conferma di rollback patch da parte degli attaccanti.
- Re-enrollment completo MFA per tutti gli utenti che hanno autenticato tramite appliance compromessa, indipendentemente dai reset password effettuati.
- Verifica forensica dell'appliance prima di considerare ripristinata: ricerca indicatori ROOTRUN, KNUCKLEBALL, Suo5 e ORANGETAIL, con attenzione alla persistenza JVM e launchctl.
La lettura: il paradosso VPN e la complessità come vulnerabilità strutturale
L'episodio mette in luce una contraddizione architetturale: le appliance VPN sono progettate come confine di fiducia, ma la loro complessità software — stack multi-componente con JVM, database NoSQL, runtime Erlang — le espone a catene di exploit impossibili da prevedere con il solo modello delle minacce. Il risultato è che il dispositivo che dovrebbe proteggere l'accesso remoto diventa il veicolo di annullamento di ogni controllo perimetrale.
La lezione non è tecnicamente contenibile in un advisory: richiede una ricalibrazione su come le organizzazioni gestiscono il ciclo di vita delle appliance edge. Il patching senza assume compromise, in questo scenario, non è difesa ma posticipazione.
Fonti
- https://www.scworld.com/news/inc-ransomware-chains-two-sonicwall-sma-1000-zero-days-in-attacks
- https://www.darkreading.com/vulnerabilities-threats/inc-ransomware-exploits-sonicwall-sma-zero-days
- https://www.secureblink.com/threat-feeds/sonic-wall-sma-1000-zero-days-fuel-inc-ransomware-s-root-level-vpn-compromise-chain
- https://www.resecurity.com/blog/article/from-wsproxy-to-root-inc-ransomware-and-sonicwall-sma-exploit-chain
- https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
- https://www.securityweek.com/recent-sonicwall-vulnerabilities-exploited-in-ransomware-attacks/
- https://nvd.nist.gov/vuln/detail/CVE-2026-15409
- https://nvd.nist.gov/vuln/detail/CVE-2026-15410
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.