Kelemahan SonicWall SMA1000 dieksploitasi sebagai zero-day untuk mendorong malware khusus

Dua kerentanan SonicWall SMA1000 yang baru-baru ini diungkapkan dieksploitasi dalam serangan zero-day selama berminggu-minggu, memungkinkan pelaku ancaman memasang malware khusus pada perangkat VPN yang rentan.

Pekan lalu, SonicWall memperingatkan bahwa ada pelaku ancaman secara aktif mengeksploitasi dua kerentanan yang sebelumnya dirahasiakan dalam rantai eksploitasi yang memengaruhi peralatan SMA1000 Secure Mobile Access.

Cacat tersebut, yang dilacak sebagai CVE-2026-15409, kerentanan pemalsuan permintaan sisi server (SSRF) yang kritis, dan CVE-2026-15410, cacat injeksi perintah dengan tingkat keparahan tinggi, memengaruhi peralatan SMA1000 6210, 7210, dan 8200v.

SonicWall merilis patch dalam versi 12.4.3-03453 dan 12.5.0-02835, mendesak pelanggan untuk segera menginstal pembaruan.

Meskipun SonicWall mengonfirmasi bahwa kelemahan tersebut dieksploitasi sebagai zero-day, mereka tidak mengungkapkan rincian tentang bagaimana penyerang menyusupi perangkat tersebut.

Dalam laporan baru, perusahaan respons insiden Volexity, yang membantu SonicWall menyelidiki serangan tersebut, merinci rantai eksploitasi penuh dan bagaimana pelaku ancaman memasang malware khusus pada peralatan SMA1000 yang disusupi.

Volexity merinci rantai serangan zero-day

Menurut Volexity, aktor ancaman yang sebelumnya tidak dikenal yang dilacak ketika UTA0533 mulai mengeksploitasi kerentanan pada tanggal 22 Juni, beberapa minggu sebelum SonicWall mengungkapkan kelemahannya secara publik.

“Analisis Volexity terhadap log, gambar disk, dan memori mengarah pada penemuan jejak Volexity sebagai pelaku ancaman sebagai UTA0533,” jelasnya. Laporan fleksibilitas.

“Pelaku ancaman ini diamati menggunakan beberapa eksploitasi zero-day, malware yang dirancang khusus untuk peralatan SonicWall SMA VPN, serta alat penyerang lainnya. Volexity mencatat bahwa 22 Juni 2026, adalah tanda kompromi paling awal yang diamati dalam penyelidikan.”

Dalam penyelidikan terhadap dua peralatan yang disusupi, Volexity menemukan bahwa penyerang pertama kali mengeksploitasi CVE-2026-15409 untuk menyalahgunakan ‘SMA1000’/wsproxy‘, memungkinkan mereka membuat terowongan WebSocket yang tidak diautentikasi ke layanan yang seharusnya hanya dapat diakses dari peralatan itu sendiri.

Ini mengekspos aplikasi internal, termasuk CouchDB dan layanan manajemen perangkat VPN.

Dengan menggunakan akses ini, penyerang menanyakan CouchDB untuk mendapatkan ‘product_uuid‘, nilai yang diperlukan untuk menyelesaikan serangan tahap kedua. Volexity mengatakan metode pasti yang digunakan untuk mengeksploitasi CouchDB masih belum diketahui.

Setelah mendapatkan product_uuid alat, penyerang mengeksploitasi kerentanan injeksi perintah CVE-2026-15410 melalui ‘sysCtrl.execRemoveHotfix‘ Metode RPC, memungkinkan mereka menjalankan perintah sebagai root dan mengambil kendali penuh atas alat tersebut.

Dengan akses root, UTA0533 memasang penetes malware khusus yang disebut Volexity BOLA KNUCKLE dengan nama file ‘deploy_new.py’.

KNUCKLEBALL digunakan untuk menyebarkan dua keluarga malware berbasis Java bernama Sou5 (agent_wp8.jar) dan ORANGETAIL (agent_wp9.jar), yang dirancang untuk peralatan SonicWall SMA1000.

Menurut Voleksitas, Pada5 berfungsi sebagai proxy terbalik, memungkinkan penyerang untuk menyalurkan lalu lintas melalui alat yang disusupi dan mempertahankan akses rahasia ke sumber daya internal.

ORANGETAIL adalah webshell Java khusus yang memungkinkan penyerang mengirim muatan Java terenkripsi ke alat yang disusupi dan mengeksekusinya secara dinamis dalam sesi HTTP.

Para peneliti juga menemukan bahwa penyerang memodifikasi konfigurasi nginx alat tersebut untuk mengekspos webshell ORANGETAIL dari jarak jauh dan menginstal ROOTRUNalat eskalasi hak istimewa yang memungkinkan perintah dijalankan sebagai root.

Volexity mengatakan bahwa meskipun kampanye dan malware menunjukkan kecanggihan teknis yang “signifikan”, pelaku ancaman kurang berhasil dalam menyebar ke jaringan internal korban.