Secondo quanto riferito, il ransomware Inc concatena vulnerabilità zero-day di SonicWall SMA per ottenere l’accesso root

Secondo quanto riferito, l’operazione ransomware Inc sta sfruttando due vulnerabilità precedentemente sconosciute negli appliance SonicWall Secure Mobile Access (SMA). Utilizzate insieme, le falle possono fornire agli attaccanti il controllo con privilegi root dei dispositivi interessati, offrendo potenzialmente un potente punto d’appoggio all’interno degli ambienti bersaglio.

Gli appliance SMA sono progettati per fornire accesso remoto alle reti e alle applicazioni aziendali. Poiché si trovano al confine tra Internet e i sistemi interni, una compromissione può creare rischi significativi ancor prima che un attaccante distribuisca il ransomware. L’accesso amministrativo può consentire agli autori delle minacce di modificare le configurazioni, accedere a informazioni sensibili, stabilire la persistenza o utilizzare l’appliance come punto di partenza per ulteriori intrusioni.

Perché la catena segnalata è importante

Singolarmente, le vulnerabilità in un gateway di accesso esposto a Internet possono essere gravi. Concatenare due falle può rendere lo sfruttamento più efficace, consentendo a un attaccante di passare da un punto di ingresso iniziale a privilegi elevati. In questo caso, il risultato segnalato è la possibilità di operare con privilegi root sugli appliance di accesso mobile SonicWall, offrendo all’avversario un ampio controllo sul dispositivo.

Il rapporto evidenzia il rischio continuo posto dalle infrastrutture perimetrali. Gli appliance di sicurezza sono spesso esposti direttamente al traffico Internet e possono essere trascurati durante le normali verifiche di sicurezza incentrate sugli endpoint. Una compromissione può inoltre essere difficile da rilevare se le attività dannose vengono condotte attraverso infrastrutture di accesso remoto affidabili.

Misure difensive consigliate

• Monitorare gli avvisi di sicurezza di SonicWall per informazioni su patch, soluzioni alternative e versioni dei prodotti interessate.
• Limitare le interfacce di gestione alle reti amministrative affidabili e ridurre al minimo l’esposizione non necessaria a Internet.
• Esaminare i log dell’appliance e i record di autenticazione alla ricerca di accessi insoliti, modifiche alla configurazione o attività amministrative impreviste.
• Ruotare le credenziali e analizzare i sistemi connessi se si sospetta una compromissione.
• Mantenere backup offline o comunque protetti e testare le procedure di ripristino in uno scenario ransomware.

Le organizzazioni che utilizzano prodotti SonicWall SMA dovrebbero considerare le vulnerabilità segnalate un rischio prioritario e coordinare la verifica degli appliance con un monitoraggio più ampio delle attività di risposta agli incidenti. Fino a quando non saranno disponibili correzioni confermate o indicazioni per la mitigazione, ridurre l’esposizione e monitorare eventuali attività sospette può contribuire a limitare il potenziale impatto.