SonicWall SMA1000 漏洞被作为零日漏洞利用以投放定制恶意软件

两个最近披露的 SonicWall SMA1000 漏洞在零日攻击中被利用了数周，使威胁行为者能够在易受攻击的 VPN 设备上安装定制恶意软件。
上周，SonicWall 警告称，威胁行为者正在利用一个漏洞链积极利用两个此前未披露的漏洞，影响 SMA1000 Secure Mobile Access 设备。
这些漏洞被跟踪为 CVE-2026-15409（一个严重的服务器端请求伪造（SSRF）漏洞）和 CVE-2026-15410（一个高严重性的命令注入漏洞），影响 SMA1000 6210、7210 和 8200v 设备。
SonicWall 发布了版本 12.4.3-03453 和 12.5.0-02835 的补丁，敦促客户立即安装更新。
虽然 SonicWall 确认这些漏洞已被作为零日漏洞利用，但他们并未披露攻击者如何入侵设备的细节。
在一份新报告中，协助 SonicWall 调查攻击事件的应急响应公司 Volexity 详细介绍了完整的利用链，以及威胁行为者如何在受入侵的 SMA1000 设备上安装定制恶意软件。
Volexity 详解零日攻击链
根据 Volexity 的说法，一个此前未知的、被其追踪为 UTA0533 的威胁行为者最早于 6 月 22 日开始利用这些漏洞，比 SonicWall 公开披露这些漏洞早了数周。
"Volexity 对日志、磁盘镜像和内存的分析导致发现了一个 Volexity 追踪为 UTA0533 的威胁行为者，"Volexity 报告解释道。
"该威胁行为者被观察到使用了多个零日漏洞、专门为 SonicWall SMA VPN 设备设计的恶意软件，以及其他攻击者技术。Volexity 指出，2026 年 6 月 22 日是调查中观察到的最早入侵迹象。"
在对两台受入侵设备的调查中，Volexity 发现攻击者首先利用 CVE-2026-15409 滥用 SMA1000 的 '/wsproxy' 端点，使他们能够建立未经认证的 WebSocket 隧道，连接到本应仅能从设备本身访问的服务。
这暴露了内部应用程序，包括 CouchDB 和 VPN 设备的管理服务。
利用此访问权限，攻击者查询 CouchDB 以获取设备的 'product_uuid'，这是完成攻击第二阶段所需的值。Volexity 表示，利用 CouchDB 的具体方法仍不清楚。
在获取设备的 product_uuid 后，攻击者通过 Appliance Management Console 的 'sysCtrl.execRemoveHotfix' RPC 方法利用 CVE-2026-15410 命令注入漏洞，使他们能够以 root 身份执行命令并完全控制设备。
获得 root 权限后，UTA0533 安装了一个定制的恶意软件投放器，Volexity 将其称为 KNUCKLEBALL，文件名为 'deploy_new.py'。
KNUCKLEBALL 用于部署两个基于 Java 的恶意软件家族，分别名为 Sou5（agent_wp8.jar）和 ORANGETAIL（agent_wp9.jar），专为 SonicWall SMA1000 设备设计。
根据 Volexity 的说法，Sou5 充当反向代理，允许攻击者通过受入侵的设备隧道传输流量，并保持对内部资源的隐蔽访问。
ORANGETAIL 是一个定制的 Java webshell，允许攻击者向受入侵的设备发送加密的 Java payload，并在 HTTP 会话中动态执行它们。
研究人员还发现，攻击者修改了设备的 nginx 配置以远程暴露 ORANGETAIL webshell，并安装了 ROOTRUN——一个权限提升工具，允许以 root 身份执行命令。
Volexity 表示，虽然该攻击活动和恶意软件显示出"显著的"技术复杂性，但该威胁行为者在渗透受害者内部网络方面并不那么成功。