SonicWallのSMA1000脆弱性、カスタムマルウェア展開のゼロデイとして悪用

SonicWall SMA1000で最近公表された2件の脆弱性が、数週間にわたりゼロデイ攻撃で悪用され、脆弱なVPNアプライアンスにカスタムマルウェアがインストールされていたことが分かりました。

先週SonicWallは、SMA1000 Secure Mobile Accessアプライアンスに影響する未公開だった2件の脆弱性を組み合わせたエクスプロイトチェーンが、脅威アクターによって積極的に悪用されていると警告していました。

これらの脆弱性は、深刻度が緊急(critical)のサーバーサイドリクエストフォージェリ(SSRF)脆弱性であるCVE-2026-15409と、深刻度が高(high)のコマンドインジェクション脆弱性であるCVE-2026-15410として追跡されており、SMA1000 6210、7210、8200vの各アプライアンスに影響します。

SonicWallはバージョン12.4.3-03453および12.5.0-02835でパッチをリリースし、顧客に対して直ちにアップデートを適用するよう呼びかけています。

SonicWallはこれらの脆弱性がゼロデイとして悪用されていたことを確認したものの、攻撃者がどのようにデバイスを侵害していたかについての詳細は明らかにしていませんでした。

今回、SonicWallの攻撃調査を支援したインシデントレスポンス企業のVolexityが新たなレポートを公開し、攻撃の全体像と、脅威アクターが侵害したSMA1000アプライアンスにカスタムマルウェアをインストールした手口の詳細を明らかにしました。

Volexityがゼロデイ攻撃チェーンの詳細を公表

Volexityによると、同社がUTA0533として追跡している、これまで知られていなかった脅威アクターが、SonicWallがこれらの脆弱性を公に開示するより数週間も前の6月22日という早い時期から、その悪用を開始していたとのことです。

「Volexityがログ、ディスクイメージ、メモリを分析した結果、当社がUTA0533として追跡する脅威アクターが発見された」とVolexityのレポートは説明しています。

「この脅威アクターは、複数のゼロデイエクスプロイトや、SonicWall SMA VPNアプライアンス専用に設計されたマルウェア、さらにその他の攻撃者特有の手口を使用していることが確認された。Volexityは、今回の調査で確認された侵害の最も早い痕跡が2026年6月22日であったと指摘している」としています。

Volexityは侵害された2台のアプライアンスを調査した結果、攻撃者がまずCVE-2026-15409を悪用してSMA1000の「/wsproxy」エンドポイントを不正利用し、本来アプライアンス自身からのみアクセス可能なはずのサービスに対して、認証を経ない未認証のWebSocketトンネルを確立していたことを突き止めました。

これにより、CouchDBやVPNデバイスの管理サービスを含む内部アプリケーションが外部から到達可能な状態になっていました。

攻撃者はこのアクセス権を使ってCouchDBに問い合わせを行い、攻撃の第2段階を完了させるために必要な値である、アプライアンスの「product_uuid」を取得しました。Volexityによれば、CouchDBを悪用した具体的な手法は依然として不明とのことです。

アプライアンスのproduct_uuidを取得した後、攻撃者はAppliance Management Consoleの「sysCtrl.execRemoveHotfix」RPCメソッドを通じてCVE-2026-15410のコマンドインジェクション脆弱性を悪用し、root権限でコマンドを実行してアプライアンスを完全に制御下に置きました。

root権限を取得したUTA0533は、VolexityがKNUCKLEBALLと呼ぶカスタムマルウェアのドロッパーを「deploy_new.py」というファイル名でインストールしました。

KNUCKLEBALLは、SonicWall SMA1000アプライアンス向けに設計された、Sou5(agent_wp8.jar)とORANGETAIL(agent_wp9.jar)という2つのJavaベースのマルウェアファミリーを展開するために使用されます。

Volexityによると、Sou5はリバースプロキシとして機能し、攻撃者が侵害したアプライアンスを経由してトラフィックをトンネリングし、内部リソースへの隠密なアクセスを維持できるようにします。

ORANGETAILはカスタムのJava製Webシェルで、攻撃者が暗号化したJavaペイロードを侵害したアプライアンスに送信し、HTTPセッション内で動的に実行できるようにするものです。

研究者らはさらに、攻撃者がアプライアンスのnginx設定を改変してORANGETAIL Webシェルをリモートから利用可能な状態にし、rootとしてコマンドを実行できる権限昇格ツールであるROOTRUNをインストールしていたことも確認しました。

Volexityによれば、今回の攻撃キャンペーンとマルウェアは「著しい」技術的な高度さを示していた一方で、脅威アクターは被害者の内部ネットワークへの侵入拡大にはあまり成功していなかったとのことです。