概要
INCランサムウェアグループが、SonicWallのSecure Mobile Access(SMA) 1000シリーズVPNアプライアンスに存在する2つの重大な脆弱性CVE-2026-15409(CVSS 10.0)とCVE-2026-15410(CVSS 7.2)を連鎖的に悪用し、現在最も活発なランサムウェア脅威アクターとして台頭している。両脆弱性は6月22日頃からゼロデイとして悪用が始まっていたとみられ、SonicWallは7月14日にパッチをリリース、同日中にCISAの既知悪用脆弱性(KEV)カタログにも追加された。それにもかかわらず、7月17日から8月1日にかけてオーストラリア・米国・アラブ首長国連邦・コロンビア・スイスの官民組織が次々とINCのリークサイトに掲載されており、8月2日時点でグループは累計885件の被害を主張している。境界防御に位置するVPN機器という性質上、侵害範囲は深刻で、専門家は単一の攻撃者ないし連携したグループが脆弱性の発見と悪用の双方に関与しているとみている。
攻撃手法の詳細
Resecurityの分析によれば、攻撃者はまずCVE-2026-15409を突いて、認証情報なしで細工したリクエストを/wsproxyエンドポイントへ送信する。User-Agentを「SMA Connect Agent」に偽装し、bmID=-3389パラメータを付与することで、本来externalアクセスできないlocalhost限定サービスへのWebSocketトンネルを確立できてしまう。トンネル確立後はCouchDBとのやり取りを通じてファイルシステム操作を行い、段階的なペイロードを配置。続けてCVE-2026-15410のパストラバーサル欠陥(../../../../../tmp/1234.shのような形式)を利用し、ctrl-serviceのremove_hotfixワークフローを悪用して低権限のサービスアカウントからroot権限へと昇格する。最終的にKNUCKLEBALLと呼ばれるPythonスクリプトを用いて、HTTPプロキシツールのSuo5と、カスタムJava製Webシェルのオレンジテイル(ORANGETAIL)をメモリ上に展開する。この一連の侵入により、攻撃者は管理者クレデンシャルの窃取、アクティブなセッションデータベースの取得、さらには多要素認証に用いるTOTPのシード情報の窃取まで行い、企業ネットワーク内への横展開の足がかりを築いていた。影響を受けるのはSMA 6210、7210、8200v、CMSの各モデルで、バージョン12.4.3-03245から12.5.0-02800が対象となる。
被害状況と対応
TheHackerNewsの報道では、Rapid7のDouglas McKee氏が「単一の脅威アクターか、連携した集団がこのゼロデイ脆弱性の発見と悪用の両方に関わっている」と分析していると伝えている。またVolexityは、開示前の6月22日から始まった悪用活動を「UTA0533」という別の脅威クラスターに紐づけており、複数のアクターが同一の脆弱性を利用していた可能性を示唆している。加えて、INCの関係者とみられる「Andrew」を名乗る人物が被害組織に直接電話で接触し、ランサムウェア被害への「協力」を持ちかけたうえで、交渉用のメールアドレスを提示するという社会工学的な手口も報告されている。
今後の展望と対策
SonicWallは修正版として12.4.3-03453以降または12.5.0-02835以降を提供しており、専門家は該当アプライアンスの即時パッチ適用を強く呼びかけている。それに加えてResecurityは、単純なパッチ適用だけでなく、ファクトリーリセットと安全な既知のバックアップからの復元を含む包括的な脅威ハンティングが必要だと指摘する。具体的には/wsproxyへの不審なアクセスの調査、管理者・ディレクトリサービス・一般ユーザーを含む全クレデンシャルのローテーション、システム整合性の検証が推奨されている。境界防御機器がランサムウェアグループにとって引き続き主要な侵入経路となっている実態が、今回のケースでも改めて浮き彫りになった。