INC Ransomware zwiększa presję na ofiary po wykorzystaniu luk zero-day w SonicWall SMA 1000

Wprowadzenie do problemu / definicja

Grupa INC Ransomware została powiązana z kampaniami wykorzystującymi podatności zero-day w urządzeniach SonicWall SMA 1000. To kolejny przykład ewolucji ransomware z prostego modelu szyfrowania danych do wieloetapowych operacji obejmujących włamanie, kradzież informacji oraz bezpośrednią presję wywieraną na ofiary.

W tym przypadku szczególnie niepokojące jest połączenie technicznej kompromitacji urządzeń brzegowych z działaniami psychologicznymi. Napastnicy mieli nie tylko uzyskiwać dostęp do środowisk, ale także kontaktować się z przedstawicielami organizacji telefonicznie i mailowo, aby przyspieszyć negocjacje i zwiększyć skuteczność wymuszenia.

W skrócie

INC Ransomware ma wykorzystywać dwie luki bezpieczeństwa w SonicWall SMA 1000: CVE-2026-15409 oraz CVE-2026-15410. Ataki dotyczyły organizacji w różnych krajach, a cyberprzestępcy łączyli eksploatację techniczną z bezpośrednim kontaktem z ofiarami.

• wykorzystano podatności zero-day w urządzeniach dostępu zdalnego,
• atakujący stosowali telefony i e-maile jako dodatkową formę nacisku,
• celem było zwiększenie presji operacyjnej i skrócenie czasu reakcji ofiary,
• organizacje powinny zakładać możliwość wcześniejszej kompromitacji, nawet po wdrożeniu poprawek.

Kontekst / historia

SonicWall SMA 1000 to platforma wykorzystywana do zapewniania zdalnego dostępu i obsługi połączeń VPN w środowiskach przedsiębiorstw. Tego typu urządzenia są atrakcyjnym celem dla grup ransomware, ponieważ znajdują się na styku Internetu i sieci wewnętrznej, a ich przejęcie może otworzyć drogę do dalszej infiltracji infrastruktury.

W opisywanym przypadku doniesienia wskazują, że aktywność napastników mogła rozpocząć się jeszcze przed szerokim nagłośnieniem problemu i publikacją poprawek. Taki scenariusz jest charakterystyczny dla eksploatacji zero-day, gdzie przewaga czasowa działa na korzyść atakujących, a organizacje często reagują dopiero po ujawnieniu informacji przez producenta lub instytucje bezpieczeństwa.

Dodatkowym czynnikiem podnoszącym wagę incydentu jest fakt, że podatności zaczęły być traktowane jako aktywnie wykorzystywane w realnych atakach. To oznacza, że dla zespołów bezpieczeństwa problem nie ma charakteru teoretycznego, lecz operacyjny i pilny.

Analiza techniczna

Najważniejsze znaczenie mają dwie luki: CVE-2026-15409 oraz CVE-2026-15410. Z dostępnych informacji wynika, że pierwsza z nich dotyczy mechanizmu SSRF, natomiast druga może wspierać dalszą eskalację ataku i być elementem łańcucha prowadzącego do zdalnego wykonania kodu z wysokimi uprawnieniami.

Takie połączenie jest szczególnie groźne w urządzeniach brzegowych. Pozwala bowiem rozpocząć atak z poziomu publicznie dostępnej usługi, a następnie przejść do głębszej kontroli nad systemem i jego zasobami. W praktyce kompromitacja appliance’u SMA 1000 może umożliwić rozpoznanie sieci, przejęcie danych uwierzytelniających i przygotowanie środowiska do kolejnych etapów operacji ransomware.

• pozyskanie poświadczeń użytkowników i administratorów,
• przejęcie aktywnych sesji zdalnego dostępu,
• dostęp do konfiguracji oraz sekretów systemowych,
• rozpoznanie zasobów wewnętrznych,
• wdrożenie dalszych narzędzi post-exploitation.

Na uwagę zasługuje także model działania określany jako wielokanałowe wymuszenie. Zamiast ograniczać się do pozostawienia noty okupu, operatorzy inicjują kontakt z ofiarą samodzielnie. Telefony i e-maile mają potwierdzić, że organizacja wie o incydencie, a jednocześnie zwiększyć presję na działy bezpieczeństwa, prawne i kadrę zarządzającą.

Konsekwencje / ryzyko

Największe ryzyko dotyczy organizacji, które nadal korzystają z podatnych urządzeń SonicWall SMA 1000 albo wdrożyły poprawki bez pełnej analizy śladów kompromitacji. Samo załatanie luki nie eliminuje zagrożenia, jeśli napastnik zdążył wcześniej utworzyć trwały dostęp, pobrać poświadczenia lub osadzić dodatkowe narzędzia.

Skutki incydentu mogą obejmować zarówno aspekty techniczne, jak i biznesowe. Oprócz ryzyka szyfrowania systemów trzeba brać pod uwagę naruszenie poufności danych, ruch boczny w sieci, przestój operacyjny oraz presję reputacyjną i prawną wynikającą z groźby publikacji wykradzionych informacji.

• kradzież danych i poświadczeń,
• boczny ruch w sieci wewnętrznej,
• możliwość późniejszego wdrożenia ransomware,
• zakłócenie działania usług biznesowych,
• eskalację presji poprzez kontakt telefoniczny i mailowy.

Urządzenia dostępu zdalnego bywają też trudniejsze do monitorowania niż klasyczne stacje robocze czy serwery. Jeśli organizacja nie zbiera pełnych logów i nie prowadzi odpowiedniej telemetrii z takich appliance’ów, przeciwnik może utrzymać się w środowisku dłużej, niż wskazywałaby na to powierzchowna ocena sytuacji.

Rekomendacje

Firmy korzystające z SonicWall SMA 1000 powinny potraktować tę klasę zagrożeń jako incydent wysokiego priorytetu. Kluczowe jest nie tylko wdrożenie poprawek, ale również założenie, że mogło dojść do wcześniejszego naruszenia i konieczne jest pełne dochodzenie powłamaniowe.

• natychmiast zaktualizować wszystkie podatne urządzenia do wersji zalecanych przez producenta,
• przeanalizować logi administracyjne, logi uwierzytelniania i aktywność VPN,
• przeprowadzić rotację poświadczeń uprzywilejowanych oraz kont serwisowych,
• unieważnić aktywne sesje zdalnego dostępu tam, gdzie jest to możliwe,
• sprawdzić integralność konfiguracji i obecność nieautoryzowanych zmian,
• uruchomić threat hunting pod kątem ruchu bocznego i nietypowych połączeń wychodzących,
• przygotować procedury obsługi kontaktu od cyberprzestępców przez telefon i e-mail,
• zaangażować zespoły prawne, komunikacyjne i kierownictwo przed eskalacją żądania okupu.

W dłuższej perspektywie warto objąć urządzenia zdalnego dostępu dodatkowymi mechanizmami monitorowania, segmentacją sieci i ścisłą kontrolą uprawnień. Nawet jeśli atakujący przejmie appliance brzegowy, odpowiednie ograniczenia architektoniczne mogą utrudnić rozwinięcie pełnoskalowego ataku.

Podsumowanie

Przypadek INC Ransomware pokazuje, że współczesne operacje wymuszeniowe łączą eksploatację luk zero-day, przejmowanie systemów brzegowych oraz aktywną presję wywieraną na ofiary poza samą infrastrukturą IT. Wykorzystanie podatności w SonicWall SMA 1000 jest tylko pierwszym etapem, po którym następują działania nastawione na szybkie wymuszenie decyzji biznesowych.

Dla organizacji najważniejszy wniosek jest jasny: aktualizacja oprogramowania nie wystarcza, jeśli nie towarzyszy jej analiza potencjalnej kompromitacji, rotacja poświadczeń i gotowość do obsługi incydentu w modelu wielokanałowym. Szczególnie dotyczy to firm, które opierają zdalny dostęp na urządzeniach stanowiących krytyczny element architektury bezpieczeństwa.

Źródła

• Security Affairs – INC Ransomware is Calling Victims – Pressure Tactics Post SonicWall Zero-Day Exploit
• Canadian Centre for Cyber Security – SonicWall security advisory (AV26-699) – Update 1
• SonicWall – Product Notice: SMA 1000 affected by multiple vulnerabilities
• BleepingComputer – SonicWall warns of SMA1000 flaws exploited in zero-day attacks, patch now
• NHS England Digital – Critical Vulnerabilities in SonicWall SMA1000 Series Appliances Exploited