INC ransomware sfrutta due zero-day SonicWall SMA per ottenere accesso root

🛡️ Executive Summary

• CVE-2026-15409 apre un tunnel WebSocket verso servizi locali delle appliance SonicWall SMA 1000 senza richiedere autenticazione.
• CVE-2026-15410 sfrutta una path traversal nel processo remove_hotfix per eseguire script controllati dall’attaccante con privilegi root.
• INC ransomware installa ROOTRUN, KNUCKLEBALL, Suo5 e ORANGETAIL; patchare non basta se l’appliance è già compromessa.

INC ransomware sta sfruttando una catena composta da due vulnerabilità zero-day nelle appliance SonicWall Secure Mobile Access 1000 per ottenere accesso root ai gateway VPN e utilizzarli come punto di ingresso nelle reti aziendali. La prima falla, CVE-2026-15409, permette di raggiungere servizi interni attraverso l’endpoint /wsproxy senza autenticazione. La seconda, CVE-2026-15410, trasforma l’accesso iniziale in esecuzione di codice con i massimi privilegi. Gli attaccanti installano quindi backdoor persistenti, intercettano credenziali e preparano il movimento laterale verso i sistemi interni. Le organizzazioni che hanno utilizzato firmware vulnerabili devono affiancare alla patch un’analisi forense completa, perché gli impianti possono sopravvivere al riavvio e a un aggiornamento superficiale.

Due vulnerabilità trasformano il gateway VPN in un accesso root

La catena colpisce le appliance SonicWall SMA 6210, 7210, 8200v e le installazioni Central Management Server basate sui rami firmware 12.4.3 e 12.5.0 indicati dal produttore.

La vulnerabilità CVE-2026-15409, classificata con punteggio CVSS 10,0, interessa l’endpoint /wsproxy, progettato per consentire ai client SMA Connect di raggiungere determinati servizi backend attraverso WebSocket. Il componente accetta però parametri controllati dal client, come host, porta e tipo di servizio, senza applicare un’autenticazione sufficiente o una lista rigida delle destinazioni autorizzate.

Un attaccante esterno può quindi dichiararsi come client legittimo e ordinare all’appliance di aprire un collegamento verso servizi esposti soltanto sull’interfaccia localhost. L’analisi tecnica di Resecurity sulla catena SonicWall SMA descrive richieste costruite con lo user agent SMA Connect Agent, un parametro bmID che inizia con -3389 e destinazioni come CouchDB, servizi Erlang e il demone amministrativo ctrl-service. La richiesta viene inoltrata dall’appliance stessa e appare quindi ai servizi interni come traffico locale affidabile. La seconda falla, CVE-2026-15410, sfrutta invece una path traversal nel flusso remove_hotfix: il percorso fornito dall’utente viene concatenato alla directory prevista senza essere normalizzato, permettendo di indicare uno script collocato altrove nel filesystem.

Poiché il processo di rimozione degli hotfix opera come root, il file dell’attaccante viene reso eseguibile e avviato con i massimi privilegi. La catena era già stata ricostruita nell’articolo sulle due zero-day SonicWall SMA che consentono accesso root, ma le nuove evidenze collegano ora lo sfruttamento operativo alla crescita delle attività di INC ransomware.

INC ransomware usa le appliance come testa di ponte

Resecurity indica INC ransomware come l’attore dominante nello sfruttamento recente della catena, dopo una prima attività pre-disclosure attribuita al cluster UTA0533 a partire almeno dal 22 giugno 2026. La compromissione del gateway VPN offre un vantaggio superiore a quello di un normale server esposto, perché l’appliance gestisce autenticazioni, sessioni remote, certificati, collegamenti con Active Directory o LDAP e rotte verso reti interne. Una volta ottenuto l’accesso root, gli operatori possono catturare traffico, intercettare credenziali, leggere configurazioni, modificare i meccanismi di avvio e muoversi verso file server, sistemi di gestione e directory aziendali.

Il modello coincide con la strategia già osservata nell’espansione globale di INC ransomware e dei suoi strumenti per disattivare le difese: il gruppo non dipende da un unico payload, ma combina vulnerabilità perimetrali, access broker, strumenti personalizzati e tecniche di estorsione. La possibilità di compromettere una VPN senza credenziali riduce il rumore dell’accesso iniziale e consente di operare da un dispositivo normalmente escluso dal monitoraggio EDR applicato a workstation e server. Resecurity segnala inoltre un aumento delle vittime pubblicate sul data leak site di INC tra metà luglio e l’inizio di agosto, con organizzazioni private e governative distribuite tra Stati Uniti, Australia, Emirati Arabi Uniti, Colombia, Svizzera e altri Paesi. L’attribuzione delle singole compromissioni alla specifica catena SonicWall richiede tuttavia evidenze forensi caso per caso: la sovrapposizione temporale e operativa indica un vettore rilevante, ma non dimostra che ogni vittima elencata dal gruppo sia stata colpita attraverso SMA 1000.

ROOTRUN mantiene l’esecuzione privilegiata dopo la compromissione

Dopo avere raggiunto l’accesso root, gli attaccanti installano ROOTRUN, una backdoor ELF setuid collocata nel percorso /usr/bin/xzfind. Il file permette a un utente non privilegiato di eseguire comandi arbitrari come root e costituisce quindi un meccanismo di recupero nel caso in cui altri impianti vengano rimossi. La persistenza non dipende più dalla ripetizione dell’exploit: una volta presente, ROOTRUN mantiene una scorciatoia locale verso i privilegi amministrativi. Il toolkit comprende anche KNUCKLEBALL, un loader Python che utilizza la Java Attach API per inserire agenti malevoli direttamente nel processo Java legittimo di SonicWall.

In questo modo i componenti successivi vengono caricati nella memoria di un processo attendibile, riducendo gli artefatti lasciati sul disco e complicando il rilevamento. KNUCKLEBALL estrae e carica due archivi JAR: Suo5, proxy HTTP open source utilizzato per creare tunnel nascosti, e ORANGETAIL, web shell Java personalizzata che offre comando e controllo cifrato attraverso HTTPS. La catena include inoltre modifiche a /etc/init.d/workplace e /var/lib/unit/conf.json, utilizzate per riattivare gli impianti dopo il riavvio. Il comportamento spiega perché il semplice aggiornamento del firmware non possa essere considerato una bonifica. Un appliance già compromesso può continuare a eseguire codice malevolo, conservare percorsi di accesso e inoltrare traffico verso l’infrastruttura dell’attaccante anche dopo la chiusura delle due vulnerabilità. La persistenza su dispositivi perimetrali rappresenta un rischio già osservato in precedenti compromissioni SonicWall con impianti capaci di sopravvivere agli aggiornamenti.

Il proxy WebSocket annulla l’isolamento dei servizi locali

L’architettura SMA 1000 separa il front-end esposto a Internet dai servizi amministrativi legati all’interfaccia locale. NGINX e l’applicazione WorkPlace ricevono le connessioni esterne, mentre CouchDB, i processi Erlang e ctrl-service dovrebbero restare irraggiungibili dalla rete pubblica. CVE-2026-15409 annulla questa separazione perché permette al front-end di creare un tunnel bidirezionale verso porte scelte dall’attaccante. I servizi interni continuano a fidarsi dell’origine locale della connessione, ma la richiesta è stata in realtà costruita da un soggetto remoto.

Dopo avere raggiunto CouchDB, l’operatore può leggere o scrivere file con i privilegi dell’account di servizio, preparare uno script nella directory /tmp e utilizzare le funzioni amministrative disponibili per avviarlo. CVE-2026-15410 completa la catena facendo eseguire quello stesso file dal processo root responsabile della rimozione degli hotfix. Il passaggio da Internet a localhost e poi da un account limitato a root avviene senza richiedere credenziali VPN, interazione dell’utente o una configurazione anomala. Questo rende l’attacco particolarmente pericoloso sulle appliance ancora esposte con firmware vulnerabile e conferma il rischio delle falle critiche SonicWall capaci di compromettere l’intero perimetro aziendale. Il problema non è soltanto la disponibilità di un exploit, ma l’errata assunzione che i servizi associati a localhost siano automaticamente affidabili anche quando un proxy esposto può raggiungerli per conto di utenti esterni.

Patch, reimaging e rotazione delle credenziali diventano obbligatori

SonicWall ha corretto le vulnerabilità nei firmware 12.4.3-03453 e successivi e 12.5.0-02835 e successivi. Il bollettino ufficiale dedicato alle vulnerabilità SMA 1000 chiarisce che non esistono workaround e richiede l’aggiornamento immediato delle appliance fisiche e virtuali interessate. Le organizzazioni devono verificare nei log extraweb_access.log le richieste sospette a /wsproxy, soprattutto quelle con parametri host anomali e risposta HTTP 101, e cercare in ctrl-service.log operazioni di rimozione hotfix contenenti sequenze di path traversal. Devono inoltre controllare modifiche a /var/lib/unit/conf.json, la presenza di /usr/bin/xzfind, file inattesi in /tmp, alterazioni degli script di avvio e processi Java che caricano agenti sconosciuti. Quando emergono indicatori di compromissione, SonicWall raccomanda di effettuare il reimaging dell’hardware o il redeploy delle appliance virtuali, cambiare le password di utenti e amministratori e reimpostare i token TOTP. Anche i backup devono essere valutati con prudenza: ripristinare una configurazione creata dopo la compromissione può reintrodurre impostazioni manipolate o percorsi persistenti. La presenza di INC ransomware rende necessaria un’indagine che non si fermi al gateway, ma ricostruisca accessi a directory, autenticazioni, traffico LDAP, movimenti laterali e attività sui sistemi interni. La patch chiude la porta iniziale; soltanto una verifica forense può stabilire se l’attaccante sia già entrato e abbia lasciato strumenti capaci di riaprirla.