SonicWallのSMA1000セキュアリモートアクセスアプライアンスに存在する2件の新たな脆弱性をめぐる最近の攻撃活動の大半は、INCランサムウェアグループによるものであることが、Resecurityの報告により明らかになりました。
CVE-2026-15409（CVSSスコア10）およびCVE-2026-15410（CVSSスコア7.2）として追跡されているこれらのセキュリティ上の欠陥は、認証されていないリモートの攻撃者が制限されたサービスに対してWebSocketトンネルを開き、権限をroot権限まで昇格させることを可能にします。
7月14日にパッチが適用され、同日中にCISAの既知の悪用された脆弱性（KEV）カタログにも追加されたこの2件の欠陥は、少なくとも6月22日以降、ゼロデイとして実際の攻撃で悪用されていました。
サイバーセキュリティ企業のVolexityは、観測された悪用活動をUTA0533として追跡されている脅威アクターによるものと分析しています。同社によると、この脅威アクターは侵害したアプライアンスから認証情報を窃取し、悪意のあるファイルを展開していたものの、他のシステムへの横展開についてはあまり成功していなかったとのことです。
一方でRapid7は、脅威アクターがSMA1000デバイスから社内ネットワークへと侵入を広げる様子を確認しており、これはおそらく侵害されたアプライアンスにバックドアを設置した後の動きとみられます。
そして今回、Resecurityは、CVE-2026-15409とCVE-2026-15410を連鎖させてSMA1000の侵害を行っている複数の脅威アクターの中でも、INCランサムウェアグループが最も活発な存在として台頭していると報告しています。
「特筆すべき点として、2026年8月初旬の時点で、INCランサムウェアは活動を加速させています。複数の新たな被害者が同グループのデータ漏洩サイト（DLS）で公表されています」と同社は述べています。
過去数週間にわたり、このランサムウェアグループは米国、オーストラリア、UAE、コロンビア、スイスなどの民間企業や政府機関を、自らのリークサイトに掲載してきました。
「Resecurityは複数の被害組織に対してDFIR（デジタルフォレンジック・インシデントレスポンス）および脆弱性評価の支援を行い、侵害の根本原因の封じ込めに協力しましたが、その過程で以下のような新たな動きも把握しました。新たな被害者の多くが、身元不明の組織からランサムウェア問題の解決を支援すると称するメールや電話を受け取っていたのです」と同社は述べています。
ある事例では、そのメールは悪用活動が発生した後に登録されたドメインから、中国のドメインレジストラを経由して送信されていました。
被害者はまた、自らをAndrewと名乗り、ハッカー集団の代理を主張する脅威アクターから電話でも接触を受けていました。
「通話の最後に、この人物は交渉を進めるための連絡先としてinfo@helprans[.]comというメールアドレスを伝え、その後電話を切りました。こうした手法は、ランサムウェアグループが用いる『圧力戦術』として頻繁に使われるものです」とResecurityは指摘しています。
ランサムウェアグループがSonicWallの脆弱性を標的にした攻撃を続けていることから、利用者にはSMA1000アプライアンスを可能な限り速やかにパッチ適用すること、そして侵害の可能性を特定するための脅威ハンティングを実施することが推奨されています。
翻訳元: https://www.securityweek.com/recent-sonicwall-vulnerabilities-exploited-in-ransomware-attacks/
