برنامج الفدية INC: التهديد الرئيسي لاستغلال ثغرات SonicWall SMA 1000

ظهور برنامج الفدية INC كفاعل رئيسي يستغل ثغرات SonicWall SMA 1000

أصبح برنامج الفدية INC هو “الفاعل الرئيسي” الذي يستغل الثغرات الأمنية التي تم الكشف عنها مؤخرًا في أجهزة VPN من سلسلة SonicWall Secure Mobile Access (SMA) 1000.

زيادة النشاط منذ أغسطس 2026

في تقرير نشر خلال عطلة نهاية الأسبوع، أفادت شركة Resecurity بأنها رصدت تسارع نشاط برنامج الفدية INC منذ بداية أغسطس 2026، حيث تم إدراج العديد من الضحايا على موقع تسريب البيانات الخاص بهم. وفقًا للإحصائيات المدرجة على Ransomware.Live، ادعى الفريق أنه استهدف 885 ضحية حتى الآن، مع إدراج أحدث ضحية في 2 أغسطس 2026.

استغلال الثغرات CVE-2026-15409 وCVE-2026-15410

يُشتبه في أن الهجمات تتضمن استغلال الثغرتين CVE-2026-15409 وCVE-2026-15410، والتي يمكن أن تُستخدم لتسهيل تنفيذ أوامر عشوائية والسيطرة على الأجهزة المعرضة للخطر. تم إصدار تصحيحات لمجموعة الثغرات هذه من قبل SonicWall في منتصف يوليو 2026.

استغلال الثغرات كأيام صفراء

تُقدّر الثغرتان على أنهما تم استغلالهما كأيام صفراء، حيث أشارت Rapid7 إلى أن الهجمات استغلت موطئ قدم لاستخراج بيانات اعتماد عالية القيمة، وقواعد بيانات الجلسات النشطة، وتكوينات المصادقة متعددة العوامل (MFA) باستخدام كلمات مرور لمرة واحدة.

تحليل من Volexity

في تقرير لاحق، نسبت Volexity استغلال ما قبل الكشف الذي بدأ في 22 يونيو 2026 إلى مجموعة تهديدات تتبعها باسم UTA0533. تتضمن الهجمات نشر نص بايثون يسمى KNUCKLEBALL الذي يُستخدم لإطلاق Suo5، وهو وكيل HTTP مفتوح المصدر، وقذيفة ويب مخصصة تشبه Behinder تُدعى ORANGETAIL.

التحذيرات للمستخدمين

ينصح العملاء بضرورة تحديث أجهزة SMA 1000 إلى أحدث إصدار، إذا لم يتم ذلك بالفعل. كما أوصت Resecurity بإجراء عمليات بحث شاملة عن التهديدات، وتدوير بيانات الاعتماد، والتحقق من سلامة النظام جنبًا إلى جنب مع التصحيح لحماية أنفسهم من هذا التهديد.

استنتاجات

يجب على المؤسسات أن تكون حذرة وأن تتخذ خطوات فورية للتصدي لهذه الهجمات المتزايدة.