⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Duas vulnerabilidades recentemente divulgadas do SonicWall SMA1000 foram exploradas em ataques de dia zero durante semanas, permitindo que os agentes de ameaças instalassem malware personalizado em dispositivos VPN vulneráveis.
Na semana passada, a SonicWall alertou que os agentes de ameaças estavam explorando ativamente duas vulnerabilidades anteriormente não divulgadas em uma cadeia de exploração que afetou os dispositivos SMA1000 Secure Mobile Access.
As falhas, rastreadas como CVE-2026-15409, uma vulnerabilidade crítica de falsificação de solicitação do lado do servidor (SSRF), e CVE-2026-15410, uma falha de injeção de comando de alta gravidade, afetam os dispositivos SMA1000 6210, 7210 e 8200v.
A SonicWall lançou patches nas versões 12.4.3-03453 e 12.5.0-02835, solicitando aos clientes que instalem as atualizações imediatamente.
Embora a SonicWall tenha confirmado que as falhas foram exploradas como zero-day, eles não divulgaram detalhes sobre como os invasores estavam comprometendo os dispositivos.
Num novo relatório, a empresa de resposta a incidentes Volexity, que ajudou a SonicWall na investigação dos ataques, detalhou toda a cadeia de exploração e como os agentes de ameaças instalaram o malware personalizado em dispositivos SMA1000 comprometidos.
Volexity detalha cadeia de ataque de dia zero
De acordo com a Volexity, um ator de ameaça até então desconhecido que ele rastreia como UTA0533 começou a explorar as vulnerabilidades já em 22 de junho, semanas antes da SonicWall divulgar publicamente as falhas.
“A análise de logs, imagens de disco e memória da Volexity levou à descoberta de um ator de ameaça que a Volexity rastreia como UTA0533”, explica o relatório da Volexity.
“Este ator de ameaça foi observado usando vários exploits de dia zero, malware projetado especificamente para dispositivos VPN SonicWall SMA, bem como outras técnicas de invasores. A Volexity observa que 22 de junho de 2026 foi o primeiro sinal de comprometimento observado na investigação.”
Em uma investigação de dois dispositivos comprometidos, a Volexity descobriu que os invasores primeiro exploraram o CVE-2026-15409 para abusar do endpoint '/wsproxy' do SMA1000, permitindo-lhes estabelecer túneis WebSocket não autenticados para serviços que só deveriam ser acessíveis a partir do próprio dispositivo.
Isso expôs aplicativos internos, incluindo o CouchDB e o serviço de gerenciamento do dispositivo VPN.
Usando esse acesso, os invasores consultaram o CouchDB para obter o ‘product_uuid’ do dispositivo, um valor necessário para concluir o segundo estágio do ataque. A Volexity afirma que o método exato usado para explorar o CouchDB permanece desconhecido.
Depois de obter o product_uuid do dispositivo, os invasores exploraram a vulnerabilidade de injeção de comando CVE-2026-15410 por meio do método RPC 'sysCtrl.execRemoveHotfix' do Appliance Management Console, permitindo-lhes executar comandos como root e assumir o controle total do dispositivo.
Com acesso root, o UTA0533 instalou um dropper de malware personalizado que a Volexity chama de KNUCKLEBALL sob o nome de arquivo ‘deploy_new.py’.
KNUCKLEBALL é usado para implantar duas famílias de malware baseadas em Java chamadas Sou5 (agent_wp8.jar) e ORANGETAIL (agent_wp9.jar), projetadas para dispositivos SonicWall SMA1000.
Explorar a cadeia de ataques que, em última análise, implanta malware SonicWall personalizadoFonte: Volexity
De acordo com a Volexity, o Sou5 funciona como um proxy reverso, permitindo que os invasores encaminhem o tráfego através do dispositivo comprometido e mantenham acesso secreto aos recursos internos.
ORANGETAIL é um webshell Java personalizado que permite que invasores enviem cargas Java criptografadas para o dispositivo comprometido e as executem dinamicamente em uma sessão HTTP.
Os pesquisadores também descobriram que os invasores modificaram a configuração nginx do dispositivo para expor remotamente o webshell ORANGETAIL e instalaram o ROOTRUN, uma ferramenta de escalonamento de privilégios que permite que comandos sejam executados como root.
A Volexity diz que embora a campanha e o malware mostrassem sofisticação técnica “significativa”, o ator da ameaça teve menos sucesso em se espalhar pelas redes internas das vítimas.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
Na semana passada, a SonicWall alertou que os agentes de ameaças estavam explorando ativamente duas vulnerabilidades anteriormente não divulgadas em uma cadeia de exploração que afetou os dispositivos SMA1000 Secure Mobile Access.
As falhas, rastreadas como CVE-2026-15409, uma vulnerabilidade crítica de falsificação de solicitação do lado do servidor (SSRF), e CVE-2026-15410, uma falha de injeção de comando de alta gravidade, afetam os dispositivos SMA1000 6210, 7210 e 8200v.
A SonicWall lançou patches nas versões 12.4.3-03453 e 12.5.0-02835, solicitando aos clientes que instalem as atualizações imediatamente.
Embora a SonicWall tenha confirmado que as falhas foram exploradas como zero-day, eles não divulgaram detalhes sobre como os invasores estavam comprometendo os dispositivos.
Num novo relatório, a empresa de resposta a incidentes Volexity, que ajudou a SonicWall na investigação dos ataques, detalhou toda a cadeia de exploração e como os agentes de ameaças instalaram o malware personalizado em dispositivos SMA1000 comprometidos.
Volexity detalha cadeia de ataque de dia zero
De acordo com a Volexity, um ator de ameaça até então desconhecido que ele rastreia como UTA0533 começou a explorar as vulnerabilidades já em 22 de junho, semanas antes da SonicWall divulgar publicamente as falhas.
“A análise de logs, imagens de disco e memória da Volexity levou à descoberta de um ator de ameaça que a Volexity rastreia como UTA0533”, explica o relatório da Volexity.
“Este ator de ameaça foi observado usando vários exploits de dia zero, malware projetado especificamente para dispositivos VPN SonicWall SMA, bem como outras técnicas de invasores. A Volexity observa que 22 de junho de 2026 foi o primeiro sinal de comprometimento observado na investigação.”
Em uma investigação de dois dispositivos comprometidos, a Volexity descobriu que os invasores primeiro exploraram o CVE-2026-15409 para abusar do endpoint '/wsproxy' do SMA1000, permitindo-lhes estabelecer túneis WebSocket não autenticados para serviços que só deveriam ser acessíveis a partir do próprio dispositivo.
Isso expôs aplicativos internos, incluindo o CouchDB e o serviço de gerenciamento do dispositivo VPN.
Usando esse acesso, os invasores consultaram o CouchDB para obter o ‘product_uuid’ do dispositivo, um valor necessário para concluir o segundo estágio do ataque. A Volexity afirma que o método exato usado para explorar o CouchDB permanece desconhecido.
Depois de obter o product_uuid do dispositivo, os invasores exploraram a vulnerabilidade de injeção de comando CVE-2026-15410 por meio do método RPC 'sysCtrl.execRemoveHotfix' do Appliance Management Console, permitindo-lhes executar comandos como root e assumir o controle total do dispositivo.
Com acesso root, o UTA0533 instalou um dropper de malware personalizado que a Volexity chama de KNUCKLEBALL sob o nome de arquivo ‘deploy_new.py’.
KNUCKLEBALL é usado para implantar duas famílias de malware baseadas em Java chamadas Sou5 (agent_wp8.jar) e ORANGETAIL (agent_wp9.jar), projetadas para dispositivos SonicWall SMA1000.
Explorar a cadeia de ataques que, em última análise, implanta malware SonicWall personalizadoFonte: Volexity
De acordo com a Volexity, o Sou5 funciona como um proxy reverso, permitindo que os invasores encaminhem o tráfego através do dispositivo comprometido e mantenham acesso secreto aos recursos internos.
ORANGETAIL é um webshell Java personalizado que permite que invasores enviem cargas Java criptografadas para o dispositivo comprometido e as executem dinamicamente em uma sessão HTTP.
Os pesquisadores também descobriram que os invasores modificaram a configuração nginx do dispositivo para expor remotamente o webshell ORANGETAIL e instalaram o ROOTRUN, uma ferramenta de escalonamento de privilégios que permite que comandos sejam executados como root.
A Volexity diz que embora a campanha e o malware mostrassem sofisticação técnica “significativa”, o ator da ameaça teve menos sucesso em se espalhar pelas redes internas das vítimas.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
#samirnews #samir #news #boletimtec #falhas #do #sonicwall #sma1000 #exploradas #como #zeroday #para #enviar #malware #personalizado
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário