INC Ransomware si è affermato come attore dominante nella campagna di attacchi contro i dispositivi VPN SonicWall SMA 1000, sfruttando una catena di due vulnerabilità zero-day con exploit attivi almeno dal 22 giugno 2026. La combinazione di CVE-2026-15409 e CVE-2026-15410 consente accesso non autenticato, escalation a root e furto di credenziali e seed TOTP, rendendo i concentratori VPN—tradizionalmente considerati perimetri di fiducia—il punto di ingresso più pericoloso per le reti aziendali.
- Due vulnerabilità in catena interessano SonicWall SMA 1000: CVE-2026-15409 (SSRF pre-autenticazione, CVSS 10.0 secondo il record NVD con punteggio CISA-ADP) e CVE-2026-15410 (path traversal/code injection, CVSS 7.2 secondo il record NVD con punteggio CISA-ADP).
- L'exploit pre-divulgazione è iniziato il 22 giugno 2026, osservato da Volexity come cluster UTA0533; SonicWall ha pubblicato l'advisory SNWLID-2026-0008 e rilasciato patch il 14 luglio 2026.
- Il post-sfruttamento include malware Python KNUCKLEBALL, proxy Suo5, web shell Java ORANGETAIL, backdoor ROOTRUN, e persistenza tramite modifica di /etc/init.d/workplace e /var/lib/unit/conf.json.
- Gli attaccanti rubano session database e seed TOTP: il reset delle password non espelle l'attaccante, rendendo necessaria la completa ri-registrazione MFA per ogni utente che ha autenticato attraverso un appliance compromesso.
La catena d'attacco: da wsproxy a root senza credenziali
Il vettore iniziale è CVE-2026-15409, una vulnerabilità SSRF (Server-Side Request Forgery, CWE-918) nel endpoint /wsproxy. Secondo il record NVD, con punteggio CISA-ADP di 10.0 CRITICAL e vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, la falla consente a un attaccante non autenticato di aprire un tunnel WebSocket verso servizi accessibili solo da localhost. Questo bypass del confine di rete interno è la prima anello della catena.
La seconda fase sfrutta CVE-2026-15410, descritta nel report di Resecurity come path traversal nella workflow remove_hotfix e classificata nel record NVD, con punteggio CISA-ADP, come CWE-94 (Code Injection) con CVSS 7.2 HIGH. L'attaccante, già posizionato come servizio locale tramite il tunnel SSRF, traversa i path per iniettare codice e ottenere privilegi root. La catena richiede zero precondizioni: nessuna credenziale, nessun accesso precedente, nessuna interazione utente.
Douglas McKee, director of vulnerability intelligence di Rapid7, ha confermato a The Hacker News la convergenza delle TTP: "This strong technical correlation indicates that a single threat actor or coordinated group is responsible for discovering and exploiting this zero-day vulnerability. More recently, INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain." La constatazione di Rapid7, basata su sovrapposizione significativa con le osservazioni pre-divulgazione di Volexity, collega direttamente la scoperta zero-day all'attore ransomware ora dominante.
Malware e persistenza: il dispositivo rimane infetto dopo la patch
Il toolkit post-sfruttamento documentato da Resecurity include quattro componenti principali. KNUCKLEBALL è uno script Python che lancia il proxy HTTP Suo5, strumento di tunneling per comunicazioni occulte. ORANGETAIL è una web shell Java personalizzata per accesso persistente all'appliance. ROOTRUN completa il set con funzionalità di backdoor. La persistenza è garantita da modifiche a /etc/init.d/workplace e /var/lib/unit/conf.json, script e configurazioni di inizializzazione che sopravvivono al riavvio.
Questa architettura ha un corollario immediato per le operazioni di risposta agli incidenti: applicare la patch rilasciata da SonicWall il 14 luglio 2026 non garantisce la bonifica di un dispositivo già compromesso. Se il malware ha alterato gli script di init, l'appliance rimane un canale di accesso per l'attaccante anche dopo l'aggiornamento firmware. Il dossier tecnico non specifica se SonicWall raccomandi formalmente il re-imaging completo; l'analista Jacob Krell di Suzu Labs ha espresso posizione favorevole a questa procedura più radicale.
Il furto dei seed TOTP: quando la MFA diventa vulnerabilità
L'estrazione più grave documentata nelle indagini non riguarda file o database applicativi, ma l'infrastruttura di autenticazione stessa. Gli attaccanti recuperano database di sessione attive e seed TOTP (time-based one-time password), le chiavi segrete che generano i codici a sei cifre sui token hardware o sulle app di autenticazione.
"Password resets don't evict them. Any user who authenticated through a compromised appliance needs full MFA re-enrollment from scratch." — Jacob Krell, senior director di Suzu Labs, a SC World
La conseguenza è un inversione radicale della logica di remediazione. Tradizionalmente, dopo una compromissione di credenziali, le aziende reimpostano password e considerano chiuso il caso. Con i seed TOTP rubati, l'attaccante può generare codici validi per qualsiasi timestamp futuro fino alla revoca della chiave. Ogni utente che ha transitato attraverso il dispositivo VPN compromesso richiede ri-registrazione MFA completa, un'operazione che nelle organizzazioni enterprise può coinvolgere migliaia di identità e richiedere settimane di coordinamento.
La pressione multi-canale: telefonate da "Andrew" e email da domini anonimizzati
INC Ransomware ha accelerato le pubblicazioni sul proprio data leak site tra il 17 luglio e il 1° agosto 2026, con vittime in Australia, Stati Uniti, Emirati Arabi Uniti, Colombia, Svizzera e altri paesi. Secondo le statistiche di Ransomware.Live citate da The Hacker News, il gruppo ha reclamato 885 vittime totali, con l'ultima inserita il 2 agosto 2026. Questo numero rappresenta il conteggio complessivo delle vittime INC, non il sottoinsieme specifico compromesso tramite SonicWall SMA 1000.
La novità tattica è l'estorsione per contatto diretto. Le vittime hanno ricevuto telefonate da un individuo che si identifica come "Andrew" dal numero +1 (304) 384-0401, affiancate da email dal dominio info@helprans[.]com. Il dominio è registrato presso un registrar cinese che accetta pagamenti in criptovaluta. Il dossier non stabilisce se il personaggio "Andrew" sia esclusivo di INC Ransomware o utilizzato da più gruppi; Resecurity lo attribuisce all'attore senza ulteriore conferma indipendente.
Cosa fare adesso
- Patch immediata e verifica dello stato di compromissione: applicare l'aggiornamento SonicWall SNWLID-2026-0008 su tutti gli SMA 1000, ma trattare ogni appliance non aggiornata entro il 22 giugno 2026 come potenzialmente compromessa fino a forensics dedicata.
- Ri-registrazione MFA completa: per ogni utente con credenziali TOTP sui dispositivi interessati, revocare i seed esistenti e forzare nuova enrollment, indipendentemente dal reset password già eseguito.
- Ispezione dei meccanismi di persistenza: verificare integrità di /etc/init.d/workplace, /var/lib/unit/conf.json e presenza di processi anomali associati a KNUCKLEBALL, Suo5, ORANGETAIL o ROOTRUN.
- Monitoraggio del traffico LDAP e di sessione: l'attacco documenta cattura del traffico LDAP e estrazione di session database; rilevare accessi anomali a directory service e sessioni VPN da geolocalizzazioni inattese.
Perché il concentratore VPN è diventato il bersaglio perfetto
Jeremiah Fowler, ricercatore di Black Hills Information Security, ha riformulato la priorità per i SOC: "For SOC teams the priority is no longer simply preventing ransomware encryption — it's detecting unauthorized activity during the narrow window between initial compromise and before the ransomware kill chain can be completed." La finestra è stretta perché il VPN concentratore offre posizionamento privilegiato: una volta controllato, l'attaccante osserva il traffico autenticato, cattura credenziali in transito e si muove lateralmente sfruttando la fiducia implicita che le reti accordano ai dispositivi di accesso remoto.
L'incidente SonicWall SMA 1000 esemplifica una tensione strutturale della sicurezza aziendale. I dispositivi VPN sono progettati come confini protettivi, ma la loro esposizione internet e la complessità dello stack applicativo li rendono superficie d'attacco attrattiva. Quando la compromissione include furto di seed TOTP, il danno trapassa il perimetro e contamina l'identità stessa degli utenti. La risposta richiede allora non solo remediation tecnica, ma ri-progettazione del rapporto tra fiducia e verifica nell'architettura di accesso.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
- https://www.resecurity.com/blog/article/from-wsproxy-to-root-inc-ransomware-and-sonicwall-sma-exploit-chain
- https://securityaffairs.com/196607/malware/inc-ransomware-is-calling-victims-pressure-tactics-post-sonicwall-zero-day-exploit.html
- https://www.scworld.com/news/inc-ransomware-chains-two-sonicwall-sma-1000-zero-days-in-attacks
- https://nvd.nist.gov/vuln/detail/CVE-2026-15409
- https://nvd.nist.gov/vuln/detail/CVE-2026-15410