Várias falhas de segurança críticas em equipamentos VPN da SonicWall foram exploradas ativamente em campanhas de ciberataques semanas antes de serem corrigidas. Segundo um relatório publicado pela empresa de cibersegurança Volexity, que auxiliou na investigação do incidente, os atacantes aproveitaram um encadeamento de vulnerabilidades para instalar malware personalizado nos dispositivos afetados.
O problema afetou os modelos SMA1000 6210, 7210 e 8200v da linha Secure Mobile Access da fabricante. A SonicWall já disponibilizou correções de emergência e instou os administradores de sistemas a atualizar os equipamentos com a máxima urgência para mitigar o risco.
O mecanismo de exploração em cadeia
A investigação revelou que um grupo de cibercrime, monitorizado sob a designação UTA0533, iniciou a exploração destas falhas a 22 de junho de 2026. O ataque começava com o aproveitamento da vulnerabilidade CVE-2026-15409, uma falha crítica de Server-Side RequestForgery (SSRF) no endpoint "/wsproxy" do aparelho.
Ao abusar deste componente, os invasores conseguiam criar túneis WebSocket sem qualquer tipo de autenticação. Este acesso inicial expunha serviços internos críticos do próprio equipamento VPN que deveriam estar isolados, como a base de dados CouchDB e a consola de gestão do dispositivo.
Na segunda fase da intrusão, os atacantes extraíam o identificador único do equipamento na CouchDB para avançar para a vulnerabilidade CVE-2026-15410. Esta falha de injeção de comandos, localizada no método RPC "sysCtrl.execRemoveHotfix", permitia a execução de código com privilégios elevados de root, garantindo o controlo total do sistema.
Instalação de malware personalizado e persistência
Assim que o controlo total era obtido, o grupo UTA0533 instalava um dropper em Python batizado de KNUCKLEBALL. Esta ferramenta servia de base para descarregar duas famílias de malware em Java desenvolvidas especificamente para estes ecossistemas da SonicWall: o Sou5 e o ORANGETAIL.
O Sou5 operava como um proxy inverso para contornar defesas de rede e manter canais de comunicação permanentes com o exterior. Por sua vez, o ORANGETAIL consistia numa webshell oculta que permitia injetar e executar payloads encriptados diretamente nas sessões HTTP do servidor web nginx modificado pelos piratas informáticos.
Apesar do elevado nível de sofisticação técnica demonstrado no desenvolvimento do malware e no ataque direcionado aos equipamentos VPN, os especialistas notaram que o grupo teve dificuldades em expandir a intrusão para lá dos dispositivos periféricos, falhando a progressão para as redes internas das empresas vítimas. As atualizações corretivas estão disponíveis nas versões de firmware 12.4.3-03453 e 12.5.0-02835.
Nenhum comentário
Seja o primeiro!