O grupo de ransomware INC voltou ao centro das atenções da comunidade de segurança após pesquisadores identificarem uma campanha ativa que explora vulnerabilidades zero-day nos appliances SonicWall SMA 1000. Os ataques permitem comprometer dispositivos responsáveis pelo acesso remoto corporativo, capturar credenciais privilegiadas e obter acesso à rede interna antes mesmo da implantação do ransomware.
A descoberta reforça uma tendência preocupante: os grupos de ransomware estão investindo cada vez mais na exploração de equipamentos de borda, como VPNs e gateways de acesso remoto. Esses dispositivos costumam ficar expostos à internet e, quando comprometidos, oferecem aos invasores um caminho direto para servidores, estações de trabalho e serviços críticos da organização.
Neste artigo, você entenderá como funciona a cadeia de exploração envolvendo as vulnerabilidades CVE-2026-15409 e CVE-2026-15410, quais ferramentas são utilizadas pelo grupo INC, como ocorre a extorsão das vítimas e quais medidas devem ser adotadas imediatamente para reduzir o risco de comprometimento.
Como o grupo de ransomware INC está atacando dispositivos SonicWall SMA 1000
Os SonicWall SMA 1000 são appliances amplamente utilizados por empresas para fornecer acesso remoto seguro a colaboradores, fornecedores e administradores de sistemas. Por concentrarem processos de autenticação e acesso privilegiado, tornaram-se um alvo extremamente valioso para grupos especializados em ransomware.
Segundo a investigação conduzida por pesquisadores de segurança, o grupo INC passou a explorar duas vulnerabilidades até então desconhecidas pelo público para comprometer esses equipamentos antes da disponibilização das correções.
O objetivo não é apenas instalar ransomware imediatamente. A estratégia consiste em obter acesso persistente ao ambiente corporativo, coletar informações sensíveis, movimentar-se lateralmente pela rede e preparar o cenário para uma operação de dupla extorsão.
Essa abordagem reduz as chances de detecção precoce e aumenta significativamente o impacto do ataque.
Como funciona a exploração das falhas CVE-2026-15409 e CVE-2026-15410
O ataque ocorre por meio do encadeamento das vulnerabilidades CVE-2026-15409 e CVE-2026-15410, que afetam o software dos appliances SonicWall SMA 1000.
A primeira vulnerabilidade (CVE-2026-15409) permite que o invasor execute a etapa inicial da invasão, contornando mecanismos de proteção do equipamento para acessar componentes internos normalmente indisponíveis a usuários não autorizados.
Na sequência, a exploração da CVE-2026-15410 amplia esse acesso, permitindo a obtenção de informações altamente sensíveis armazenadas pelo appliance.
Entre os dados que podem ser comprometidos estão:
- Credenciais administrativas;
- Cookies de autenticação;
- Sessões ativas de usuários;
- Tokens utilizados por autenticação multifator (MFA/TOTP);
- Informações de configuração do dispositivo;
- Dados utilizados pelos serviços internos responsáveis pelo gerenciamento das conexões VPN.
O roubo dessas informações representa um risco significativo porque possibilita o reaproveitamento de sessões autenticadas. Em determinados cenários, o invasor consegue acessar recursos corporativos utilizando sessões já estabelecidas, reduzindo a eficácia de mecanismos tradicionais de autenticação multifator.
Depois de obter acesso ao appliance, os criminosos passam a realizar reconhecimento da infraestrutura, identificar servidores críticos, localizar controladores de domínio e buscar credenciais adicionais para expandir o comprometimento da rede.
Ferramentas utilizadas durante a campanha
A operação atribuída ao grupo INC utiliza um conjunto de ferramentas conhecidas em campanhas avançadas de invasão.
Uma delas é o KNUCKLEBALL, um script desenvolvido em Python utilizado para automatizar etapas da exploração das vulnerabilidades e facilitar a extração de informações sensíveis presentes nos dispositivos comprometidos.
Também foi identificado o uso do Suo5, um proxy HTTP reverso frequentemente empregado por grupos de ameaças para estabelecer túneis entre a infraestrutura controlada pelos criminosos e a rede da vítima. Esse recurso dificulta a identificação do tráfego malicioso e facilita a movimentação lateral sem despertar suspeitas.
Outro componente encontrado durante as investigações foi o ORANGETAIL, um web shell compatível com o conhecido Behinder. Esse tipo de ferramenta oferece acesso remoto persistente ao equipamento comprometido, permitindo executar comandos, enviar arquivos, instalar novas cargas maliciosas e manter o controle do sistema mesmo após alterações superficiais na configuração.
A combinação dessas ferramentas demonstra um elevado grau de planejamento. Em vez de realizar ataques rápidos, os operadores procuram permanecer ocultos pelo maior tempo possível, aumentando o volume de informações roubadas antes da fase de criptografia.
A extorsão vai além do ransomware
Outro aspecto que diferencia essa campanha é a forma como ocorre a extorsão das vítimas.
Após comprometer o ambiente e copiar informações confidenciais, os operadores do grupo de ransomware INC iniciam contato direto com representantes da organização.
Além dos tradicionais portais de negociação na dark web, os criminosos passaram a utilizar ligações telefônicas para pressionar executivos e responsáveis pela área de tecnologia.
Também foram observadas mensagens enviadas por alguém que se identifica como “Andrew”, utilizando o endereço info@helprans.com como suposto canal de contato.
Essas comunicações procuram convencer a vítima de que o pagamento do resgate representa a única alternativa para impedir a divulgação pública dos dados roubados.
Esse tipo de abordagem aumenta significativamente a pressão psicológica sobre as empresas, principalmente quando os criminosos demonstram conhecer detalhes da infraestrutura interna ou apresentam amostras de documentos confidenciais como prova do comprometimento.
A estratégia evidencia a evolução dos modelos modernos de dupla extorsão, nos quais o prejuízo não depende apenas da criptografia dos sistemas, mas também da ameaça de exposição de informações sigilosas.
Como proteger ambientes SonicWall SMA 1000
Diante da exploração ativa dessas vulnerabilidades, a principal recomendação é aplicar imediatamente as atualizações de segurança disponibilizadas pela SonicWall.
No entanto, organizações que utilizavam versões vulneráveis não devem assumir que a simples instalação dos patches elimina completamente o risco.
Caso exista a possibilidade de exploração anterior à atualização, é fundamental realizar uma investigação detalhada para verificar se houve comprometimento do appliance.
As principais medidas recomendadas incluem:
- Atualizar imediatamente todos os dispositivos SonicWall SMA 1000 para versões corrigidas;
- Revisar os logs em busca de acessos incomuns, especialmente envolvendo o endpoint /wsproxy;
- Pesquisar indicadores de comprometimento (IoCs) divulgados pelos pesquisadores;
- Rotacionar credenciais administrativas e de contas privilegiadas;
- Invalidar sessões ativas de usuários conectados;
- Regenerar segredos utilizados pelo MFA, sempre que possível;
- Auditar contas administrativas criadas ou modificadas recentemente;
- Monitorar conexões externas persistentes, túneis e comunicações suspeitas;
- Verificar a existência de web shells ou arquivos não autorizados no appliance;
- Reforçar o monitoramento por soluções EDR, XDR e SIEM, permitindo identificar comportamentos anômalos rapidamente.
Também é recomendável revisar os procedimentos internos de resposta a incidentes, garantindo que a equipe saiba como isolar rapidamente dispositivos comprometidos e preservar evidências para investigação.
Por que ataques contra VPNs preocupam tanto?
Os appliances VPN ocupam uma posição estratégica na infraestrutura corporativa. Eles concentram autenticação, autorização e acesso remoto para usuários internos e externos.
Quando um equipamento desse tipo é comprometido, o invasor passa a atuar praticamente como um usuário legítimo da organização, reduzindo a necessidade de explorar outros mecanismos de defesa.
Essa característica faz com que vulnerabilidades em equipamentos de borda sejam extremamente valiosas para grupos especializados em ransomware.
Nos últimos anos, diversas campanhas passaram a priorizar firewalls, VPNs, gateways de acesso remoto e appliances de segurança justamente porque esses dispositivos oferecem acesso privilegiado à infraestrutura empresarial.
A exploração dos SonicWall SMA 1000 reforça essa tendência e evidencia a importância de manter uma política rigorosa de gerenciamento de vulnerabilidades e aplicação rápida de atualizações críticas.
Conclusão
A campanha atribuída ao grupo de ransomware INC demonstra como as operações modernas de ransomware evoluíram muito além da simples criptografia de arquivos. A exploração das vulnerabilidades CVE-2026-15409 e CVE-2026-15410 permite aos invasores comprometer dispositivos SonicWall SMA 1000, roubar credenciais, capturar sessões autenticadas, estabelecer persistência e preparar ataques de grande impacto contra redes corporativas.
Mais do que instalar as correções disponibilizadas pelo fabricante, as organizações precisam assumir que equipamentos vulneráveis podem já ter sido explorados. Isso exige investigação dos logs, rotação de credenciais, busca por indicadores de comprometimento e monitoramento contínuo da infraestrutura.
Em um cenário em que VPNs e appliances de acesso remoto continuam sendo alvos prioritários dos criminosos, manter uma estratégia de atualização rápida, monitoramento constante e resposta eficiente a incidentes deixou de ser apenas uma boa prática e passou a ser um requisito essencial para a segurança das empresas.
