SonicWall

最近公表されたSonicWall SMA1000の2つの脆弱性が、数週間にわたりゼロデイ攻撃で悪用され、攻撃者が脆弱なVPNアプライアンスにカスタムマルウェアをインストールすることを可能にしていました。

先週、SonicWallは、脅威アクターがSMA1000 Secure Mobile Accessアプライアンスに影響を与えるエクスプロイトチェーンにおいて、これまで未公開だった2つの脆弱性を積極的に悪用していると警告した。

これらの脆弱性は、CVE-2026-15409（重大なサーバーサイドリクエストフォージェリー（SSRF）脆弱性）およびCVE-2026-15410（高深刻度のコマンドインジェクション脆弱性）として追跡されており、SMA1000 6210、 7210、および8200vアプライアンスに影響を及ぼします。

image

SonicWallはバージョン12.4.3-03453および12.5.0-02835のパッチをリリースし、顧客に対し直ちに更新を適用するよう呼びかけています。

SonicWallは、これらの脆弱性がゼロデイ攻撃として悪用されたことを確認したものの、攻撃者がどのようにデバイスを侵害したかについての詳細は明らかにしなかった。

新たなレポートにおいて、SonicWallの攻撃調査を支援したインシデント対応企業Volexityは、完全な攻撃チェーンの詳細と、脅威アクターが侵害されたSMA1000アプライアンスにカスタムマルウェアをインストールした手法を詳述しました。

Volexityがゼロデイ攻撃のチェーンを詳述

Volexityによると、同社が「UTA0533」として追跡している、これまで知られていなかった脅威アクターが、SonicWallが脆弱性を公表する数週間前の6月22日という早い段階から、これらの脆弱性の悪用を開始していた。

「Volexityによるログ、ディスクイメージ、およびメモリの分析により、VolexityがUTA0533として追跡している脅威アクターが特定された」と、Volexityのレポートは説明している。

「この脅威アクターは、複数のゼロデイエクスプロイトや、SonicWall SMA VPNアプライアンス向けに特別に設計されたマルウェア、およびその他の攻撃手法を使用していることが確認された。Volexityは、2026年6月22日が調査において確認された最も早い侵害の兆候であったと指摘している。」

侵害された2台のアプライアンスの調査において、 Volexityは、攻撃者がまずCVE-2026-15409を悪用してSMA1000の「/wsproxy」エンドポイントを乗っ取り、本来はアプライアンス本体からのみアクセス可能なはずのサービスに対して、認証不要のWebSocketトンネルを確立していたことを突き止めました。

これにより、CouchDBやVPNデバイスの管理サービスを含む内部アプリケーションがさらされてしまった。

このアクセス権を利用して、攻撃者はCouchDBにクエリを送信し、攻撃の第2段階を完了するために必要な値であるアプライアンスの「product_uuid」を取得した。Volexityによると、CouchDBを悪用するために使用された正確な手法は依然として不明である。

アプライアンスの product_uuid を取得した後、攻撃者はアプライアンス管理コンソールの「sysCtrl.execRemoveHotfix」RPC メソッドを介して CVE-2026-15410 のコマンドインジェクション脆弱性を悪用し、root 権限でコマンドを実行してアプライアンスを完全に制御下に置きました。

root権限を取得した後、UTA0533は、Volexityが「KNUCKLEBALL」と呼ぶカスタムマルウェア・ドロッパーを「deploy_new.py」というファイル名でインストールした。

KNUCKLEBALLは、SonicWall SMA1000アプライアンス向けに設計された、Sou5（agent_wp8.jar）およびORANGETAIL（agent_wp9.jar）という2つのJavaベースのマルウェアファミリーを展開するために使用されます。

Exploit attack chain that ultimately deploys custom SonicWall malware
最終的にカスタムSonicWallマルウェアを展開するエクスプロイト攻撃チェーン
出典：Volexity

Volexity によると、Sou5 はリバースプロキシとして機能し、攻撃者が侵害されたアプライアンスを経由してトラフィックをトンネル化し、内部リソースへの隠蔽されたアクセスを維持することを可能にする。

ORANGETAILは 、攻撃者が暗号化されたJavaペイロードを侵害されたアプライアンスに送信し、HTTPセッション内で動的に実行することを可能にする、カスタムJavaウェブシェルです 。

また、研究者らは、攻撃者がアプライアンスのnginx設定を変更してORANGETAILウェブシェルをリモートから公開できるようにし、root権限でコマンドを実行できる権限昇格ツール「ROOTRUN」をインストールしていたことも突き止めた。

Volexityによると、このキャンペーンとマルウェアは「極めて」高度な技術的洗練度を示していたものの、脅威アクターは被害者の内部ネットワークへの拡散にはあまり成功しなかったという。