Perangkat Sonicwall Firewall telah semakin ditargetkan sejak akhir Juli dalam gelombang serangan ransomware Akira, berpotensi mengeksploitasi kerentanan keamanan yang sebelumnya tidak diketahui, menurut perusahaan cybersecurity Arctic Wolf.
Akira muncul Pada bulan Maret 2023 dan dengan cepat mengklaim banyak korban di seluruh dunia di berbagai industri. Selama dua tahun terakhir, Akira telah menambahkan lebih dari 300 organisasi ke portal kebocoran web yang gelap dan mengklaim bertanggung jawab atas beberapa korban terkenal, termasuk Nissan (Oceania Dan Australia), HitachiDan Universitas Stanford.
FBI mengatakan geng ransomware Akira telah mengumpulkan lebih dari $ 42 juta dalam pembayaran tebusan pada April 2024 dari Lebih dari 250 korban.
Seperti yang diamati oleh Laboratorium Serigala Arktik, beberapa intrusi ransomware melibatkan akses yang tidak sah melalui koneksi Sonicwall SSL VPN, mulai pada 15 Juli. Namun, sementara kerentanan nol hari yang dieksploitasi dalam serangan ini sangat mungkin, Arctic Wolf belum mengesampingkan serangan berbasis kredensial.
“Metode akses awal belum dikonfirmasi dalam kampanye ini,” peneliti Arctic Wolf Labs memperingatkan. “Sementara keberadaan kerentanan nol-hari sangat masuk akal, akses kredensial melalui brute force, serangan kamus, dan isian kredensial belum secara definitif dikesampingkan dalam semua kasus.”
Sepanjang lonjakan aktivitas ransomware ini, penyerang dengan cepat beralih dari akses jaringan awal melalui akun SSL VPN ke enkripsi data, pola yang konsisten dengan serangan serupa yang terdeteksi sejak setidaknya Oktober 2024, yang menunjukkan kampanye berkelanjutan yang menargetkan perangkat SonicWall.
Selain itu, Arctic Wolf mencatat bahwa operator ransomware diamati menggunakan hosting server pribadi virtual untuk otentikasi VPN, sementara koneksi VPN yang sah biasanya berasal dari penyedia layanan internet broadband.
Para peneliti keamanan masih menyelidiki metode serangan yang digunakan dalam kampanye ini dan akan memberikan informasi tambahan kepada para pembela segera setelah tersedia.
Karena kemungkinan kuat kerentanan nol Sonicwall yang dieksploitasi di alam liar, Arktik Wolf menyarankan administrator untuk sementara menonaktifkan layanan SSL SSL VPN. Selain itu, mereka harus menerapkan langkah-langkah keamanan lebih lanjut, seperti penebangan yang ditingkatkan, pemantauan titik akhir, dan memblokir otentikasi VPN dari penyedia jaringan terkait hosting, sampai tambalan tersedia.
Admin menyarankan untuk mengamankan peralatan SMA 100
Laporan Arctic Wolf datang satu minggu setelahnya Sonicwall memperingatkan pelanggan Untuk menambal peralatan SMA 100 mereka terhadap kerentanan keamanan kritis (CVE-2025-40599) yang dapat dieksploitasi untuk mendapatkan eksekusi kode jarak jauh pada perangkat yang tidak ditandingi.
Seperti yang dijelaskan perusahaan, sementara penyerang akan membutuhkan hak istimewa admin untuk eksploitasi CVE-2025-40599, dan tidak ada bukti bahwa kerentanan ini sedang dieksploitasi secara aktif, itu masih mendesak administrator untuk mengamankan peralatan SMA 100 mereka, karena mereka sudah menjadi sasaran sasaran serangan menggunakan kredensial yang dikompromikan Untuk menggunakan malware Rootkit Overkit baru menurut peneliti Google Ancaman Intelijen (GTIG).
SonicWall juga ‘sangat’ menyarankan pelanggan dengan SMA 100 Virtual atau Peralatan Fisik untuk memeriksa indikator kompromi (IOC) dari laporan GTIG, menunjukkan bahwa admin harus meninjau log untuk akses yang tidak sah dan aktivitas yang mencurigakan dan menghubungi dukungan SonicWall segera jika mereka menemukan bukti kompromi.
Seorang juru bicara SonicWall tidak segera tersedia untuk dimintai komentar ketika dihubungi oleh BleepingComputer sebelumnya hari ini.
