INC Ransomware si sta affermando come attore dominante nello sfruttamento delle vulnerabilità di SonicWall Secure Mobile Access SMA 1000, una famiglia di appliance VPN spesso usata per l’accesso remoto in ambito aziendale. L’aumento delle attività osservato a inizio agosto 2026 coincide con la pubblicazione di numerose nuove vittime su siti di data leak, segnale tipico delle operazioni di estorsione che combinano cifratura e furto di dati.
Il punto chiave della campagna riguarda due falle di sicurezza identificate come CVE-2026-15409 e CVE-2026-15410. L’ipotesi più accreditata è che vengano concatenate per ottenere esecuzione di comandi e arrivare al controllo del dispositivo vulnerabile. Le correzioni sono state rilasciate a metà luglio 2026, ma come spesso accade molte installazioni restano esposte per ritardi di patching o per configurazioni non aggiornate.
Le analisi tecniche indicano che lo sfruttamento abbia avuto caratteristiche da zero-day, con attacchi avviati prima della divulgazione pubblica. Una volta ottenuto l’accesso iniziale, gli aggressori puntano a dati ad alto valore come credenziali, database di sessioni attive e configurazioni dei seed TOTP legati alla multi-factor authentication. Questo passaggio è particolarmente pericoloso perché consente accesso persistente anche dopo cambi password, se i meccanismi MFA vengono indeboliti o ricostruiti dagli attaccanti.
In parallelo è stata descritta una catena operativa che include l’uso di script Python per avviare proxy HTTP e l’installazione di web shell Java personalizzate, con un obiettivo chiaro: muoversi lateralmente dalla VPN verso la rete interna e raggiungere asset critici. Le vittime segnalate includono organizzazioni del settore privato e pubblico in diversi paesi, tra cui Australia, Stati Uniti, Emirati Arabi Uniti, Colombia e Svizzera, a dimostrazione di una campagna opportunistica su scala globale.
Un elemento di pressione aggiuntivo è rappresentato da contatti diretti alle vittime tramite email e telefonate da presunti intermediari che offrono assistenza su incidenti ransomware, una tattica usata per accelerare le trattative e aumentare lo stress operativo.
Per ridurre il rischio, è fondamentale applicare immediatamente gli aggiornamenti più recenti per SonicWall SMA 1000, eseguire threat hunting mirato, ruotare le credenziali e verificare l’integrità dei sistemi. Utile anche analizzare i log alla ricerca di accessi sospetti verso endpoint come wsproxy e parametri anomali, correlando questi eventi con autenticazioni interne e segnali di lateral movement.