SonicWall-SMA1000-Schwachstellen wurden als Zero-Day-Lücken ausgenutzt, um Schadsoftware zu installieren

Zwei Schwachstellen in SonicWall SMA1000 wurden bereits Wochen vor ihrer öffentlichen Bekanntgabe als Zero-Day-Lücken ausgenutzt. Dadurch konnten Angreifer verwundbare VPN-Appliances kompromittieren und maßgeschneiderte Schadsoftware installieren.

Die Schwachstellen betreffen die SonicWall-SMA1000-Appliances 6210, 7210 und 8200v. SonicWall veröffentlichte vergangene Woche Sicherheitsupdates und bestätigte, dass Bedrohungsakteure die Schwachstellen aktiv für Angriffe ausgenutzt hatten.

Das Incident-Response-Unternehmen Volexity, das die Untersuchung unterstützte, erklärte, dass die Kampagne bereits am 22. Juni begonnen habe. Das Unternehmen verfolgt den bislang unbekannten Bedrohungsakteur hinter den Angriffen unter der Bezeichnung UTA0533.

Zwei SonicWall-SMA1000-Schwachstellen wurden miteinander kombiniert

Der Angriff basierte auf zwei Schwachstellen:

• CVE-2026-15409, eine kritische Server-Side-Request-Forgery-(SSRF)-Schwachstelle.
• CVE-2026-15410, eine schwerwiegende Schwachstelle für Command Injection.

Die Angreifer nutzten zunächst CVE-2026-15409 über den /wsproxy-Endpunkt der SMA1000-Appliance aus. Dadurch konnten sie nicht authentifizierte WebSocket-Tunnel zu internen Diensten aufbauen, die von außen eigentlich nicht erreichbar sein sollten.

Zu den exponierten Diensten gehörten unter anderem CouchDB und die Verwaltungsoberfläche der Appliance.

Volexity stellte fest, dass die Angreifer CouchDB abfragten, um die product_uuid der Appliance zu erhalten. Dieser Wert war für den nächsten Angriffsschritt erforderlich. Die Forscher konnten jedoch nicht bestätigen, wie die Gruppe genau auf die Datenbank zugriff.

Anschließend verwendeten die Angreifer die product_uuid, um CVE-2026-15410 über die RPC-Methode sysCtrl.execRemoveHotfix der Appliance Management Console auszunutzen. Dadurch konnten sie Befehle mit Root-Rechten ausführen und die vollständige Kontrolle über das Gerät übernehmen.

Angreifer installierten KNUCKLEBALL und Java-Schadsoftware

Nachdem sie Root-Zugriff erlangt hatten, installierte UTA0533 einen maßgeschneiderten Malware-Dropper namens KNUCKLEBALL. Dieser wurde unter dem Dateinamen deploy_new.py abgelegt.

KNUCKLEBALL installierte anschließend zwei Java-basierte Malware-Familien, die speziell für SonicWall-SMA1000-Appliances entwickelt wurden:

• Sou5, gespeichert als agent_wp8.jar
• ORANGETAIL, gespeichert als agent_wp9.jar

Sou5 fungiert als Reverse Proxy. Dadurch können Angreifer Datenverkehr über die kompromittierte Appliance tunneln und verdeckten Zugriff auf interne Ressourcen aufrechterhalten.

ORANGETAIL ist eine Java-basierte Webshell, mit der Angreifer verschlüsselte Java-Payloads an die Appliance senden und diese während HTTP-Sitzungen dynamisch ausführen können.

Die Angreifer änderten außerdem die nginx-Konfiguration des Geräts, um die ORANGETAIL-Webshell aus der Ferne erreichbar zu machen. Zusätzlich installierten sie das Privilegieneskalationswerkzeug ROOTRUN, um Befehle mit Root-Rechten auszuführen.

Sicherheitsupdates stehen für betroffene Appliances bereit

SonicWall hat die SonicWall-SMA1000-Schwachstellen in den Versionen 12.4.3-03453 und 12.5.0-02835 behoben.

Organisationen mit betroffenen SMA1000-Appliances sollten die Updates so schnell wie möglich installieren. Die Schwachstellen wurden bereits aktiv ausgenutzt, bevor die Sicherheitsupdates verfügbar waren. Erfolgreiche Angriffe können Bedrohungsakteuren die vollständige administrative Kontrolle über eine VPN-Appliance verschaffen.

Obwohl Volexity die Kampagne als technisch anspruchsvoll bezeichnete, fand das Unternehmen nur begrenzte Hinweise darauf, dass UTA0533 erfolgreich tiefer in die internen Netzwerke der betroffenen Organisationen eindringen konnte.