El grup de ransomware INC s'ha convertit en l'actor dominant explotant dues vulnerabilitats zero-day als dispositius d'accés remot segur SonicWall SMA1000, segons va revelar la firma d'intel·ligència d'amenaces Resecurity a principis d'agost de 2026. Les vulnerabilitats, identificades com a CVE-2026-15409 i CVE-2026-15410, s'explotaven activament des d'almenys el 22 de juny, setmanes abans que SonicWall publiqués els pedaços el 14 de juliol.
El cas il·lustra un patró cada vegada més habitual: dispositius de vora de xarxa —VPN, gateways d'accés remot, appliances de seguretat— que esdevenen el punt d'entrada preferit de grups de ransomware precisament perquè estan exposats a internet per disseny i sovint reben pedaços més lentament que el programari intern d'una organització.
Context de la setmana
SonicWall va alertar de l'explotació activa dels dos zero-days als seus appliances SMA1000, encadenables per aconseguir execució arbitrària de comandes i presa completa del dispositiu. La cobertura de The Hacker News, BleepingComputer, SecurityWeek i SC Media, juntament amb l'alerta oficial de NHS Digital al Regne Unit, confirma la gravetat i l'abast de l'incident. Resecurity va documentar que INC Ransomware va accelerar la seva activitat des de principis d'agost, afegint múltiples víctimes noves al seu lloc de filtració de dades, amb víctimes del sector privat i governamental a Austràlia, els Estats Units i els Emirats Àrabs Units llistades entre el 17 de juliol i l'1 d'agost.
Què ha canviat
- Dues CVE encadenables: CVE-2026-15409 i CVE-2026-15410 permeten a un atacant remot no autenticat obrir un túnel WebSocket cap a serveis restringits del dispositiu i escalar privilegis fins a root.
- Explotació com a zero-day durant setmanes: els atacants abusaven de les fallades des d'almenys el 22 de juny, tres setmanes abans que existissin pedaços disponibles, cosa que situa qualsevol organització sense mitigacions compensatòries en risc durant tot aquest període.
- Robatori de llavors MFA, no només credencials: a més de credencials i bases de dades de sessió actives, els atacants van extreure configuracions de llavors TOTP (els secrets que generen els codis d'autenticació multifactor), cosa que permet mantenir accés persistent fins i tot després de rotar contrasenyes.
- Eines pròpies de post-explotació: la cadena d'atac inclou un script en Python anomenat KNUCKLEBALL per desplegar Suo5 (un proxy HTTP de codi obert) i una web shell en Java a l'estil Behinder batejada ORANGETAIL.
- 885 víctimes reclamades i comptant: INC Ransomware ha llistat 885 víctimes fins ara al seu lloc de filtració, amb la més recent registrada el 2 d'agost de 2026, i ha accelerat notablement el ritme de noves víctimes des de principis de mes.
Impacte per a equips de desenvolupament i producte
Per a equips d'infraestructura i seguretat, aquest incident confirma que el robatori de llavors MFA canvia completament el càlcul de resposta a un incident: rotar contrasenyes ja no n'hi ha prou si l'atacant conserva els secrets TOTP, per la qual cosa qualsevol organització que faci servir SMA1000 i sospiti compromís ha de revocar i reemetre completament els dispositius de segon factor, no només les contrasenyes. El fet que les fallades s'explotessin com a zero-day durant tres setmanes abans del pedaç subratlla la importància de comptar amb detecció basada en comportament (accessos anòmals, tunneling WebSocket inesperat) en dispositius de vora, en lloc de dependre únicament de la gestió de pedaços, que per definició arriba tard davant un zero-day. Per a equips que depenen d'appliances SonicWall SMA1000 per a accés remot d'empleats, convé tractar aquests dispositius com a superfície d'atac d'alt valor i aplicar segmentació de xarxa estricta, de manera que un compromís del gateway no atorgui automàticament accés lateral a sistemes interns crítics.
Recomanacions pràctiques
- Si l'organització opera SonicWall SMA1000, confirmar immediatament que els pedaços del 14 de juliol de 2026 estan aplicats, i no assumir que "sense incidents reportats" equival a "no compromès", atès que l'explotació va ser silenciosa durant setmanes.
- Davant qualsevol sospita de compromís, rotar no només contrasenyes sinó també reemetre completament els dispositius MFA dels usuaris afectats, ja que les llavors TOTP robades permeten generar codis vàlids indefinidament.
- Cercar de forma proactiva indicadors de compromís coneguts —l'script KNUCKLEBALL, el proxy Suo5 i la web shell ORANGETAIL— als registres i al propi dispositiu, en lloc d'esperar una alerta automàtica.
- Revisar el lloc de filtració de dades d'INC Ransomware (a través de fonts d'intel·ligència d'amenaces, no directament) per comprovar si l'organització o els seus proveïdors apareixen llistats com a víctimes.
- Adoptar com a pràctica general que qualsevol appliance d'accés remot exposat a internet rebi monitorització de comportament anòmal a més de gestió de pedaços, atès que el patró de zero-day-abans-del-pedaç es repeteix amb freqüència en aquest tipus de dispositius.
Què vigilar a continuació
- Si SonicWall confirma el nombre total de dispositius compromesos abans de la publicació dels pedaços.
- Noves víctimes que apareguin al lloc de filtració d'INC Ransomware en les setmanes posteriors, com a indicador de si la campanya continua activa després del pedaç.
- Si altres grups de ransomware, més enllà d'INC, adopten les mateixes tècniques de robatori de llavors MFA com a pràctica estàndard.
- Publicació d'una anàlisi forense més detallada per part de SonicWall o de firmes de resposta a incidents sobre l'abast real de l'explotació prèvia al pedaç.
- Si agències governamentals (CISA, NHS Digital i equivalents) emeten directives obligatòries de pedaçat per a dispositius SMA1000 en sectors crítics.
Conclusió: El cas SonicWall SMA1000 confirma que els dispositius d'accés remot continuen sent el blanc preferit del ransomware modern, i que el robatori de llavors MFA converteix una bretxa puntual en un problema d'accés persistent que sobreviu a la simple rotació de contrasenyes. Per a qualsevol organització que depengui de VPN o gateways d'accés remot exposats a internet, la lliçó és doble: pedaçar ràpid no n'hi ha prou si el zero-day ja s'explotava abans del pedaç, i la resposta a incidents en aquests dispositius ha d'assumir per defecte que el segon factor també està compromès.
Fonts i documentació
- The Hacker News — INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
- BleepingComputer — SonicWall warns of actively exploited SMA1000 zero-day flaws
- SecurityWeek — SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks
- SC Media — INC Ransomware chains two SonicWall SMA 1000 zero-days in attacks
- NHS England Digital — Exploitation of Zero-Day Vulnerabilities in SonicWall SMA1000 Series Appliances