La vicenda delle due falle nei VPN gateway SonicWall SMA serie 1000, che avevamo raccontato a luglio quando erano state sfruttate come zero-day, ha ora un nome e un modello di business: secondo un rapporto di Resecurity, INC Ransomware è diventato l'attore dominante nello sfruttamento della catena CVE-2026-15409 e CVE-2026-15410, e dall'inizio di agosto ha accelerato, pubblicando nuove vittime sul proprio data leak site. Rapid7 conferma: le sovrapposizioni tecniche con le proprie indagini indicano un singolo attore, o un gruppo coordinato, dietro la scoperta e l'uso della catena.

I fatti, in breve

Le due vulnerabilità, corrette da SonicWall a metà luglio, formano una catena micidiale. La CVE-2026-15409 (CVSS 10.0) è un bypass pre-autenticazione del servizio /wsproxy: consente a un attaccante esterno, senza credenziali, di aprire un tunnel WebSocket verso servizi che dovrebbero essere raggiungibili solo da localhost. La CVE-2026-15410 (CVSS 7.2) è un path traversal nel flusso remove_hotfix del servizio ctrl-service, usato per salire da un account di servizio a root. Insieme trasformano una singola richiesta HTTP non autenticata nel controllo completo dell'appliance.

Volexity ha ricostruito che lo sfruttamento è iniziato già dal 22 giugno, settimane prima della divulgazione, a opera di un cluster tracciato come UTA0533. Sugli apparati compromessi gli attaccanti hanno installato uno script Python (KNUCKLEBALL) che avvia il proxy HTTP open source Suo5 e una web shell Java personalizzata (ORANGETAIL), simile a Behinder. Ma il dato più pesante emerge dall'analisi di Rapid7: oltre alle credenziali e ai database delle sessioni attive, gli attaccanti hanno esfiltrato i seed TOTP della MFA, cioè i semi crittografici da cui vengono generati i codici a sei cifre dell'autenticazione a due fattori.

Secondo Ransomware.Live, INC Ransomware ha rivendicato 885 vittime complessive, l'ultima il 2 agosto. Tra il 17 luglio e il 1° agosto sono comparse sul suo data leak site organizzazioni private e pubbliche di Australia, Stati Uniti, Emirati Arabi, Colombia e Svizzera. Resecurity segnala anche una tattica di pressione insolita: molte vittime hanno ricevuto telefonate ed email da sedicenti "soccorritori" che offrivano assistenza sul ransomware; in alcuni casi un individuo che si presentava come "Andrew" chiamava dichiarando di parlare "a nome di un gruppo di hacker" e lasciava un indirizzo email per la negoziazione.

Cosa significa per le aziende italiane

Il messaggio centrale di questo aggiornamento è uno: la patch non è la bonifica. Chi ha esposto un SMA 1000 su internet prima di metà luglio deve lavorare sull'ipotesi di essere già stato compromesso, perché l'exploitation è iniziata almeno tre settimane prima delle correzioni. E il furto dei seed TOTP cambia la natura del problema: con quei semi l'attaccante può generare codici MFA validi e rientrare dalla porta principale con credenziali e secondo fattore legittimi, anche su un apparato ormai aggiornato. Aggiornare il firmware senza ruotare credenziali e MFA equivale a cambiare la serratura lasciando le chiavi nuove sotto lo zerbino.

Gli apparati SonicWall sono diffusissimi nelle PMI e negli studi professionali italiani, spesso installati da system integrator e poi poco presidiati. Un VPN gateway compromesso è il punto d'ingresso perfetto per la double extortion: cifratura più minaccia di pubblicazione dei dati. Sul piano degli obblighi, per i soggetti in perimetro NIS2 (D.lgs. 138/2024) un'intrusione di questo tipo è un incidente significativo: pre-notifica al CSIRT Italia entro 24 ore e notifica entro 72; se sono stati esfiltrati dati personali si aggiunge la notifica al Garante entro 72 ore ex art. 33 GDPR. Le telefonate dei falsi soccorritori, infine, vanno trattate come parte dell'estorsione: nessuna informazione va fornita a interlocutori non verificati, e ogni contatto va documentato e segnalato alle autorità.

Cosa fare subito

  • Verificare che gli apparati SMA 1000 siano aggiornati all'ultimo firmware rilasciato da SonicWall; se non lo sono, farlo immediatamente.
  • Se l'appliance era esposta prima della patch di metà luglio, assumere la compromissione: cercare nei log interazioni con /wsproxy da IP esterni e con parametri anomali, correlandole con le autenticazioni interne e con eventuali movimenti laterali.
  • Ruotare tutte le credenziali transitate dall'appliance, invalidare le sessioni attive e rigenerare i seed TOTP con un nuovo enrollment MFA per tutti gli utenti: è il passaggio che molte organizzazioni saltano.
  • Cercare tracce di KNUCKLEBALL, Suo5, ORANGETAIL e di processi o file anomali sull'apparato; in caso di riscontro, coinvolgere un incident responder prima di spegnere o riavviare.
  • Limitare l'interfaccia di gestione a una rete dedicata e monitorare i data leak site per riferimenti alla propria organizzazione.
  • Istruire help desk e centralino: le offerte di "assistenza ransomware" non richieste vanno registrate e segnalate (Polizia Postale e, per i soggetti obbligati, CSIRT Italia), senza fornire alcun dato.

Il caso SMA 1000 conferma un pattern ormai consolidato: i gruppi ransomware comprano o sviluppano exploit per gli apparati di perimetro perché un solo dispositivo violato apre centinaia di reti. La velocità di patching conta, ma la vera differenza la fa ciò che si fa dopo la patch.