El grupo de ransomware INC se ha convertido en el actor dominante explotando dos vulnerabilidades zero-day en los dispositivos de acceso remoto seguro SonicWall SMA1000, según reveló la firma de inteligencia de amenazas Resecurity a principios de agosto de 2026. Las vulnerabilidades, identificadas como CVE-2026-15409 y CVE-2026-15410, llevaban explotándose activamente desde al menos el 22 de junio, semanas antes de que SonicWall publicara los parches el 14 de julio.
El caso ilustra un patrón cada vez más habitual: dispositivos de borde de red —VPN, gateways de acceso remoto, appliances de seguridad— que se convierten en el punto de entrada preferido de grupos de ransomware precisamente porque están expuestos a internet por diseño y a menudo reciben parches más lentamente que el software interno de una organización.
Contexto de la semana
SonicWall alertó de la explotación activa de los dos zero-days en sus appliances SMA1000, encadenables para lograr ejecución arbitraria de comandos y toma completa del dispositivo. La cobertura de The Hacker News, BleepingComputer, SecurityWeek y SC Media, junto con la alerta oficial de NHS Digital en el Reino Unido, confirma la gravedad y el alcance del incidente. Resecurity documentó que INC Ransomware aceleró su actividad desde principios de agosto, añadiendo múltiples víctimas nuevas a su sitio de filtración de datos, con víctimas del sector privado y gubernamental en Australia, Estados Unidos y Emiratos Árabes Unidos listadas entre el 17 de julio y el 1 de agosto.
Qué ha cambiado
- Dos CVE encadenables: CVE-2026-15409 y CVE-2026-15410 permiten a un atacante remoto no autenticado abrir un túnel WebSocket hacia servicios restringidos del dispositivo y escalar privilegios hasta root.
- Explotación como zero-day durante semanas: los atacantes llevaban abusando de los fallos desde al menos el 22 de junio, tres semanas antes de que existieran parches disponibles, lo que sitúa a cualquier organización sin mitigaciones compensatorias en riesgo durante todo ese periodo.
- Robo de semillas MFA, no solo credenciales: además de credenciales y bases de datos de sesión activas, los atacantes extrajeron configuraciones de semillas TOTP (los secretos que generan los códigos de autenticación multifactor), lo que permite mantener acceso persistente incluso después de rotar contraseñas.
- Herramientas propias de post-explotación: la cadena de ataque incluye un script en Python llamado KNUCKLEBALL para desplegar Suo5 (un proxy HTTP de código abierto) y una web shell en Java al estilo Behinder bautizada ORANGETAIL.
- 885 víctimas reclamadas y contando: INC Ransomware ha listado 885 víctimas hasta la fecha en su sitio de filtración, con la más reciente registrada el 2 de agosto de 2026, y ha acelerado notablemente el ritmo de nuevas víctimas desde principios de mes.
Impacto para equipos de desarrollo y producto
Para equipos de infraestructura y seguridad, este incidente confirma que el robo de semillas MFA cambia por completo el cálculo de respuesta a un incidente: rotar contraseñas ya no basta si el atacante conserva los secretos TOTP, por lo que cualquier organización que use SMA1000 y sospeche compromiso debe revocar y reemitir por completo los dispositivos de segundo factor, no solo las contraseñas. El hecho de que los fallos se explotaran como zero-day durante tres semanas antes del parche subraya la importancia de contar con detección basada en comportamiento (accesos anómalos, tunneling WebSocket inesperado) en dispositivos de borde, en lugar de depender únicamente de la gestión de parches, que por definición llega tarde ante un zero-day. Para equipos que dependen de appliances SonicWall SMA1000 para acceso remoto de empleados, conviene tratar estos dispositivos como superficie de ataque de alto valor y aplicar segmentación de red estricta, de forma que un compromiso del gateway no otorgue automáticamente acceso lateral a sistemas internos críticos.
Recomendaciones prácticas
- Si la organización opera SonicWall SMA1000, confirmar de inmediato que los parches del 14 de julio de 2026 están aplicados, y no asumir que "sin incidentes reportados" equivale a "no comprometido", dado que la explotación fue silenciosa durante semanas.
- Ante cualquier sospecha de compromiso, rotar no solo contraseñas sino también reemitir por completo los dispositivos MFA de los usuarios afectados, ya que las semillas TOTP robadas permiten generar códigos válidos indefinidamente.
- Buscar de forma proactiva indicadores de compromiso conocidos —el script KNUCKLEBALL, el proxy Suo5 y la web shell ORANGETAIL— en los logs y en el propio dispositivo, en lugar de esperar a una alerta automática.
- Revisar el sitio de filtración de datos de INC Ransomware (a través de fuentes de inteligencia de amenazas, no directamente) para comprobar si la organización o sus proveedores aparecen listados como víctimas.
- Adoptar como práctica general que cualquier appliance de acceso remoto expuesto a internet reciba monitorización de comportamiento anómalo además de gestión de parches, dado que el patrón de zero-day-antes-del-parche se repite con frecuencia en este tipo de dispositivos.
Qué vigilar a continuación
- Si SonicWall confirma el número total de dispositivos comprometidos antes de la publicación de los parches.
- Nuevas víctimas que aparezcan en el sitio de filtración de INC Ransomware en las semanas posteriores, como indicador de si la campaña sigue activa tras el parche.
- Si otros grupos de ransomware, más allá de INC, adoptan las mismas técnicas de robo de semillas MFA como práctica estándar.
- Publicación de un análisis forense más detallado por parte de SonicWall o de firmas de respuesta a incidentes sobre el alcance real de la explotación previa al parche.
- Si agencias gubernamentales (CISA, NHS Digital y equivalentes) emiten directivas obligatorias de parcheo para dispositivos SMA1000 en sectores críticos.
Conclusión: El caso SonicWall SMA1000 confirma que los dispositivos de acceso remoto siguen siendo el blanco preferido del ransomware moderno, y que el robo de semillas MFA convierte una brecha puntual en un problema de acceso persistente que sobrevive a la simple rotación de contraseñas. Para cualquier organización que dependa de VPN o gateways de acceso remoto expuestos a internet, la lección es doble: parchear rápido no es suficiente si el zero-day ya se explotaba antes del parche, y la respuesta a incidentes en estos dispositivos debe asumir por defecto que el segundo factor también está comprometido.
Fuentes y documentación
- The Hacker News — INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
- BleepingComputer — SonicWall warns of actively exploited SMA1000 zero-day flaws
- SecurityWeek — SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks
- SC Media — INC Ransomware chains two SonicWall SMA 1000 zero-days in attacks
- NHS England Digital — Exploitation of Zero-Day Vulnerabilities in SonicWall SMA1000 Series Appliances