CVE-2026-15409: массовая атака на устройства SonicWall раскрыла доменные секреты

17 июля 2026 года муниципальный совет Кингс-Линна и Западного Норфолка обнаружил кибератаку на устройства SonicWall SMA1000. Hunt.io с умеренной степенью уверенности связал инцидент с масштабной кампанией по эксплуатации уязвимости CVE-2026-15409.

14 июля SonicWall раскрыл информацию об уязвимости и сообщил о ее активной эксплуатации. Проблема затрагивает интерфейс WorkPlace и позволяет злоумышленникам без аутентификации подделывать серверные запросы. Для атаки используется общедоступная конечная точка WebSocket /wsproxy, через которую можно получить доступ к службам на локальном интерфейсе устройства.

Массовое сканирование устройств SonicWall

Оператор организовал туннель к узлу распределенной системы Erlang на локальном порту 1050, после чего получил возможность выполнять команды. В течение двух дней после раскрытия информации об уязвимости злоумышленник применял модифицированный эксплойт Rapid7 для массового сканирования и эксплуатации систем SonicWall.

Инвентаризация, составленная на основе данных Shodan, включала 2 197 записей SMA1000. Из них 163 успешные проверки соответствовали 112 уникальным конечным точкам. Всего в рамках кампании было обработано 250 целей.

Извлечение конфигураций и учетных данных

Оператор извлек конфигурации LDAP из 168 устройств. Это позволило получить:

• 534 записи в 160 доменах Active Directory;
• 255 адресов внутренних LDAP-серверов.

Затем злоумышленник извлек файл policy_file.xml, проанализировал сохраненные учетные данные LDAP и расшифровал пароли с помощью статического ключа AES. Ключ был получен из байт-кода приложения SonicWall.

Использование скомпрометированных устройств для атак на домены

Скомпрометированные устройства SonicWall использовались в качестве внутренних платформ для дальнейших атак. На выбранные системы в каталог /tmp загрузили автономную Linux-сборку secretsdump из Impacket. Затем инструмент запустили с использованием извлеченных учетных данных LDAP против внутренних контроллеров домена.

В результате злоумышленники получили секреты SAM и LSA из девяти сред Active Directory. Извлеченные NTLM-хеши учетных записей компьютеров контроллеров домена повторно использовались для аутентификации с помощью Pass the Hash и выполнения операций DCSync на основе DRSUAPI.

Полная репликация домена была успешно выполнена против семи контроллеров домена в пяти средах. Это позволило получить большие объемы данных об учетных записях Active Directory.

Оппортунистический характер кампании

В кампании применялись автоматизированное сканирование, извлечение учетных данных, проверка привилегий и рабочие процессы DCSync. Подтвержденная кража учетных данных затронула среды во Франции, Индии, Италии и США. Цели также выявили во множестве других стран и секторов.

Данные указывают на оппортунистический выбор целей. Оператор ориентировался на наличие уязвимых устройств SonicWall, а не на принадлежность организаций к конкретной отрасли.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.