サイバーセキュリティ企業Volexityによると、最近パッチが適用されたSonicWallアプライアンスの2件のゼロデイ脆弱性は、パッチ公開前の数週間にわたって脅威アクターに悪用されていました。
SonicWallは7月14日にこれらの脆弱性に関する公開アドバイザリをリリースし、CVE-2026-15409とCVE-2026-15410が実際の攻撃で悪用されていたことを顧客に通知しました。
リモートの未認証攻撃者はこれらの脆弱性を悪用し、SMA1000セキュアリモートアクセスアプライアンスを侵害できます。SonicWallはこの脆弱性に対処するホットフィックスをすでに公開しています。
ベンダーの攻撃調査を支援したVolexityは、これらのゼロデイ脆弱性の悪用をUTA0533として追跡している脅威アクターによるものと帰属させています。
同社は、悪用が早くも6月22日から始まっていたとみています。
同社は金曜日、攻撃に関連するIoC(侵害指標)およびその他の技術的な詳細を公開しましたが、UTA0533を既知の脅威アクターに結び付けてはおらず、このグループの目的も不明のままです。しかし、Volexityの説明によれば、この攻撃は利益目的のサイバー犯罪活動よりも、国家が支援するAPT活動に近い特徴を示しています。
攻撃者は標的としたSonicWallアプライアンスを侵害した後、KnuckleBallと名付けられたカスタムマルウェアを展開しました。このマルウェアは、専用に作られたJava製Webシェル「OrangeTail」と、オープンソースのプロキシツール「Suo5」という2つの別のツールを正規プロセスに注入します。
「root権限を得ることで、脅威アクターは保存済みまたはキャッシュされた認証情報にアクセスし、ネットワークトラフィックを取得し、アプライアンスが処理する認証情報を傍受できる可能性がありました」とVolexityは述べています。
同社はさらに、「UTA0533はSonicWallアプライアンスの侵害において高い能力を示したものの、入手できた証拠からは、この脅威アクターが横方向への移動や他システムへのアクセス獲得についてはあまり成功していなかったことがうかがえます」と付け加えています。
CISAはCVE-2026-15409とCVE-2026-15410をKEVカタログに追加しました。このカタログには現在、SonicWall製品に影響する脆弱性が17件含まれています。
