Le vulnerabilità zero-day nei dispositivi SonicWall SMA 1000 stanno attirando l’attenzione della sicurezza informatica perché sono state sfruttate attivamente prima della divulgazione pubblica. Un gruppo di minaccia non documentato in precedenza, identificato come UTA0533, avrebbe compromesso appliance VPN SonicWall Secure Mobile Access a partire dal 22 giugno 2026, ottenendo accesso root e installando componenti malevoli progettati appositamente per questo ambiente.
Le falle coinvolte sono CVE-2026-15409 con gravità massima e CVE-2026-15410 con gravità elevata. La catena di exploit consente prima di creare un canale di comunicazione non autenticato verso servizi interni disponibili solo in localhost e poi di arrivare a esecuzione di comandi ed escalation dei privilegi. SonicWall ha rilasciato patch dedicate, ma il punto critico è che gli attacchi risultano avvenuti quando gli aggiornamenti non erano ancora disponibili.
Analisi incident response e persistenza
Nelle analisi di incident response su due dispositivi SMA VPN, gli attaccanti hanno lasciato tracce di persistenza e strumenti per il controllo remoto.
- Primo appliance: è stato scritto un eseguibile ELF in un percorso di sistema, configurato come setuid, capace di far eseguire comandi come root anche a utenti non privilegiati.
- In parallelo: è comparso uno script Python che includeva archivi JAR iniettati in un processo legittimo, con funzionalità da proxy HTTP e web shell Java, esposte tramite specifici percorsi URI raggiungibili da Internet.
- Persistenza: sono state inoltre modificate configurazioni e script di avvio per mantenere l’accesso dopo i riavvii.
Sul secondo dispositivo sono stati osservati file temporanei e uno script finalizzato ad avviare tcpdump per ispezionare traffico LDAP non cifrato e tentare il furto di credenziali, estraendo username e password. Un riavvio avrebbe ridotto gli artefatti, indicando che parte dei backdoor poteva risiedere in memoria.
Dettagli tecnici della catena di exploit
La CVE-2026-15409 è descritta come bypass pre-autenticazione su wsproxy che permette di stabilire un tunnel WebSocket verso servizi locali, sfruttando un User-Agent specifico e un parametro bmID con prefisso particolare. Da lì, l’attaccante può raggiungere componenti meno protetti e combinare lettura/scrittura file e successiva escalation a root tramite CVE-2026-15410, associata a un difetto nel flusso remove hotfix del servizio di controllo.