Cyberangriff auf britische Kommunalverwaltung mit massenhafter Ausnutzung kritischer SonicWall-Schwachstelle in Verbindung gebracht

Vorfall bei der Kommunalverwaltung mit breiter automatisierter Kampagne verknüpft

Der Cyberangriff auf den Borough Council of King’s Lynn and West Norfolk wird mit mittlerer Sicherheit einer groß angelegten Kampagne zugerechnet, bei der CVE-2026-15409 in SonicWall-SMA1000-Appliances ausgenutzt wurde.

Die Kommunalverwaltung gab am 17. Juli 2026 öffentlich bekannt, dass sie einen Angriff entdeckt hatte, der Verwaltungsdienste beeinträchtigte. Hunt.io identifizierte den Vorfall und die zugehörige Angreifer-Infrastruktur noch am selben Tag. Das genaue Ausmaß der Auswirkungen auf die Kommunalverwaltung – einschließlich der Frage, ob personenbezogene Daten oder Active-Directory-Daten gestohlen wurden – ist nicht bekannt.

Die vorliegenden Hinweise sprechen dafür, dass die Kommunalverwaltung wahrscheinlich durch opportunistisches Scanning erfasst wurde und nicht gezielt ausgewählt wurde, weil es sich um eine Behörde der Kommunalverwaltung handelt. Wiederhergestellte Zielbestände enthielten fast 200.000 Adressen, die als SonicWall-Systeme identifiziert wurden und zu Behörden, Einrichtungen des Gesundheitswesens, Finanzunternehmen, Universitäten, Fertigungsbetrieben, Strafverfolgungsbehörden und Managed-IT-Anbietern gehörten.

Die Kampagne ging innerhalb kurzer Zeit von der Ausnutzung zur massenhaften Automatisierung über. Rapid7 veröffentlichte am 15. Juli 2026 einen Proof of Concept. Am 16. Juli 2026 hatte ein Betreiber die Technik bereits in einen Scanner umgewandelt, der 50 parallele Threads ausführte. Das Managed Detection and Response Team von Rapid7 hatte Ausnutzungsversuche bereits beobachtet, bevor SonicWall am 14. Juli seine Sicherheitswarnung veröffentlichte.

Damit blieb den Verteidigern praktisch kein zeitlicher Puffer. Wenige Tage nach den frühesten bekannten bösartigen Aktivitäten setzte groß angelegtes Scanning ein.

CVE-2026-15409 macht eine SMA1000-Appliance zur Befehlsplattform

CVE-2026-15409 ist eine Server-Side-Request-Forgery-Schwachstelle im WebSocket-Proxy des SonicWall-SMA1000-WorkPlace-Portals. Sie erreicht mit 10 den maximalen CVSS-v3-Score; der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Ein Angreifer kann die Schwachstelle aus der Ferne ohne Zugangsdaten oder Interaktion eines Benutzers ausnutzen. Die ursprüngliche Anfrage zielt auf den /wsproxy-Endpunkt der Appliance und veranlasst sie, eine Verbindung zu einem nicht vorgesehenen Ziel herzustellen.

Die in der NVD aufgeführten betroffenen Produkte und Versionen sind:

Produkt	Verwundbare Version
SonicWall SMA6210	Firmware 12.4.3-03245
SonicWall SMA7210	Firmware 12.4.3-03245
SonicWall SMA8200v	12.4.3-03245

Die NVD enthält außerdem Produkteinträge für SMA6210 und SMA7210, bei denen das Versionsfeld mit - angegeben ist. Die korrigierte Firmware beginnt mit 12.4.3-03453. Betreiber sollten diese oder eine spätere Version installieren.

Der Exploit veranlasst die Appliance, eine Verbindung zu ihrem eigenen TCP-Port 1050 herzustellen, auf dem ein Erlang-Dienst im Zusammenhang mit CouchDB läuft. Ein fest in der Firmware eingebettetes Cookie ermöglicht es dem Angreifer, die Erlang-Verbindung herzustellen und mit dem Knoten [email protected] zu kommunizieren.

Über diese Verbindung übermittelte Befehle werden mit den Rechten des Kontos couchdb auf dem zugrunde liegenden Betriebssystem ausgeführt. Obwohl die Angriffskette mehrere Schritte umfasst, können Skripte sie innerhalb weniger Sekunden abschließen.

Die CISA nahm CVE-2026-15409 am 14. Juli 2026 in ihren Katalog der Known Exploited Vulnerabilities auf. Die Frist zur Behebung für US-Bundesbehörden endete am 17. Juli 2026. Außerdem ist vermerkt, dass die Schwachstelle in Ransomware-Kampagnen eingesetzt wurde.

Die CISA verlangt Gegenmaßnahmen im Einklang mit den Herstelleranweisungen, den risikobasierten Patch-Vorgaben aus BOD 26-04 und ihren Forensics Triage Requirements. Wenn keine Gegenmaßnahmen verfügbar sind, müssen die geltenden Cloud-Vorgaben befolgt oder die Nutzung des Produkts eingestellt werden.

Gestohlene Zugangsdaten der Appliance eröffneten den Zugang zu Active Directory

Nach der Erlangung der Befehlsausführung untersuchte der Betreiber /usr/local/extranet/etc/policy_file.xml, das von der Appliance gespeicherte LDAP-Passwörter enthalten kann.

Diese Passwörter waren mit AES geschützt. Der dafür erforderliche feste 32-Byte-Schlüssel war jedoch in ASAPPasswordUtil.class eingebettet. Dadurch benötigte der Angreifer kein individuelles Geheimnis von jedem Gerät. Mit demselben extrahierten Schlüssel konnten gespeicherte LDAP-Zugangsdaten auf verschiedenen verwundbaren Appliances entschlüsselt werden.

Anschließend lud der Betreiber einen eigenständigen Linux-Build von Impackets secretsdump nach /tmp/secretsdump herunter und verwendete dazu curl, um die Datei aus einer vom Angreifer kontrollierten Infrastruktur abzurufen. Durch die direkte Ausführung des Tools auf dem SonicWall-Gerät erhielt der Angreifer Zugriff auf interne Windows-Systeme, die von der Appliance bereits legitim erreicht werden konnten.

Wenn LDAP-Zugangsdaten über ausreichende Berechtigungen verfügten, konnten sie direkt gegenüber den Verzeichnisdiensten verwendet werden. Reichten die Berechtigungen nicht aus, versuchten die Angreifer, SAM- und LSA-Geheimnisse zu extrahieren.

LSA-Daten können den NTLM-Hash des Computerkontos eines Domain Controllers offenlegen. Da Domain Controller normalerweise über Berechtigungen zur Verzeichnisreplikation verfügen, konnte der Betreiber einen solchen Hash für eine Pass-the-Hash-Authentifizierung verwenden und eine DCSync-Operation durchführen.

Kampagnenskripte automatisierten diesen Vorgang. Sie durchsuchten die Ausgabe von secretsdump nach Kontonamen, die auf $ endeten, extrahierten die zugehörigen Hashes und starteten DCSync-Anfragen über die kompromittierte Appliance. Die Technik war in fünf Umgebungen erfolgreich.

In diesen Fällen erzeugten die Angreifer Kopien der Active-Directory-NTDS-Datenbank unter /tmp auf dem SonicWall-System. Anschließend wurden die Dateien über denselben Kanal zur Befehlsausführung abgerufen.

Ein erfolgreicher DCSync-Vorgang kann Verzeichnisdaten mit Zugangsinformationen in großem Umfang offenlegen. Daher würde der Wiederaufbau ausschließlich der Appliance den Zugriff des Angreifers nicht beseitigen, wenn Hashes, Passwörter oder Authentifizierungstoken bereits gestohlen wurden.

Offene Angreifer-Infrastruktur offenbarte die Reichweite der Kampagne

Hunt.io entdeckte auf Port 80 unter 95.181.173[.]36 ein nicht authentifiziertes HTTP-Verzeichnis. Es enthielt Scan- und Exploit-Skripte, Tools zur Verarbeitung von Zugangsdaten, eine eigenständige Impacket-Binärdatei sowie Ausgaben laufender Operationen.

Die wiederhergestellten Daten dokumentierten 250 angegriffene Appliances. Darunter waren:

• 168 Appliances mit offengelegten LDAP-Konfigurationsdateien, die Zugangsdaten enthielten.
• Diese Dateien betrafen 534 Active-Directory-Konten in 160 Domainnamen.
• Die kompromittierten Konfigurationen enthielten 255 Adressen interner LDAP-Server.
• In neun Umgebungen wurden SAM- und LSA-Geheimnisse gestohlen.
• In fünf Umgebungen wurde die vollständige Active-Directory-Replikation über DCSync durchgeführt.
• Sieben Domain Controller waren Ziel der DCSync-Aktivitäten.

Der bestätigte Diebstahl von SAM- und LSA-Daten betraf Umgebungen in Frankreich, Indien, Italien und den Vereinigten Staaten. Das breitere Inventar umfasste Gateways, die Organisationen im Vereinigten Königreich, in Kanada, Deutschland, Schweden, Polen, Ungarn, Südkorea und Hongkong zugeordnet waren.

Der Fall King’s Lynn and West Norfolk ist daher Teil einer internationalen Operation und kein isolierter Einbruch. Die Zuordnung mit mittlerer Sicherheit belegt jedoch nicht, dass jede dokumentierte Aktivität nach der Ausnutzung auch in der Umgebung der Kommunalverwaltung stattgefunden hat.

Auch die Urheberschaft ist weiterhin ungeklärt. In den wiederhergestellten Skripten fanden sich durchgehend Kommentare in chinesischer Sprache. Diese Hinweise reichen jedoch nicht aus, um den Aufenthaltsort, die Nationalität oder die organisatorische Zugehörigkeit des Betreibers zu bestimmen.

Andere Akteure haben dieselbe Schwachstelle unabhängig voneinander ausgenutzt. Der als UTA0533 geführte Akteur verwendete sie zur Verbreitung der KNUCKLEBALL-Malware; auch die INC-Ransomware-Gruppe setzte die Angriffskette ein. Es gibt keine Hinweise darauf, dass sämtliche Ausnutzungsaktivitäten von einer einzigen Gruppe ausgingen.

Eine Edge-Appliance kann die übliche Überwachung von Endgeräten umgehen

Das SonicWall-Gerät bot den Angreifern mehr als nur den ersten Zugang. Es wurde zu einem internen Angriffshost außerhalb der üblichen Überwachungsreichweite vieler Organisationen.

Verbindungen von einer Remote-Access-Appliance zu LDAP-Servern, Windows-Hosts oder Domain Controllern können im Betrieb plausibel wirken. Wenn secretsdump auf der Appliance ausgeführt wird, gibt es auf dem angegriffenen Windows-Endpunkt keinen entsprechenden fremden Prozess, der erkannt werden könnte.

Die Aktivitäten können daher einen Endpoint-Detection-Alarm umgehen, in den Windows-Ereignisprotokollen keinen offensichtlichen Angreiferprozess hinterlassen und SIEM-Regeln ausweichen, die für verwaltete Windows- oder Linux-Systeme geschrieben wurden. Die Betriebssysteme von Appliances bieten Verteidigern außerdem tendenziell weniger Telemetrie auf Prozessebene als herkömmliche Server.

Diese Transparenzlücke erschwerte die Erkennung von Diebstahl und Verzeichnisreplikation. Netzwerkverkehr, der von einem vertrauenswürdigen Edge-Gerät erzeugt wurde, konnte sich mit erwarteten Authentifizierungs- und Verwaltungsaktivitäten vermischen.

CVE-2026-15409 ist außerdem nicht der einzige jüngere KEV-Eintrag von SonicWall. CVE-2026-15410 wurde am 14. Juli 2026 in den Katalog aufgenommen und ist für den Einsatz in Ransomware-Kampagnen gekennzeichnet. CVE-2026-83548 und CVE-2026-83549 wurden am 2. September 2026 hinzugefügt. Organisationen, die SonicWall-Produkte betreiben, sollten diese umfassendere Abfolge bei der Überprüfung exponierter Systeme berücksichtigen.

Patching ist nur der erste Schritt der Reaktion

Betreiber von SMA1000 sollten auf die Firmware 12.4.3-03453 oder eine spätere Version aktualisieren. Systeme, die vor dem Patchen exponiert gewesen sein könnten, erfordern Maßnahmen der Incident Response und nicht lediglich ein Softwareupdate.

Zu den von SonicWall empfohlenen Maßnahmen zur Wiederherstellung gehören die Neuinstallation betroffener Appliances, die Änderung von Benutzer- und Administratorkennwörtern sowie das Zurücksetzen von TOTP-Token. Wenn eine Ausnutzung nicht ausgeschlossen werden kann, sollten auf der Appliance gespeicherte oder über sie erreichbare Zugangsdaten als kompromittiert betrachtet werden.

Verteidiger sollten nach Folgendem suchen:

• Verbindungen zu 95.181.173[.]36 über nicht authentifiziertes HTTP auf Port 80.
• Aktivitäten im Zusammenhang mit /wsproxy und dem lokalen TCP-Port 1050.
• Unerwarteter Zugriff auf den Erlang-Knoten.
• Die Datei /tmp/secretsdump.
• NTDS-Datenbankdateien oder andere ungewöhnliche Artefakte unter /tmp.
• Zugriff auf /usr/local/extranet/etc/policy_file.xml.
• Extraktion von SAM- oder LSA-Geheimnissen.
• Authentifizierung mit Computer-Konto-Hashes von Domain Controllern.
• Pass-the-Hash-DCSync-Anfragen.
• Ungewöhnlicher LDAP-, Windows- oder Replikationsverkehr, der von der Appliance ausgeht.

Die gemeldete secretsdump-Binärdatei weist folgenden SHA-256-Hash auf:

690f5031deede7d3357d0ca24c89866ae8c60e6c63b3a2c8bba813a6ac10ae5b

Konkrete SonicWall-Logpfade, die für die Kampagne relevant sind, wurden nicht veröffentlicht. Ermittler sollten die verfügbaren Appliance-Logs vor einer Neuinstallation sichern und sie mit der Telemetrie von Domain Controllern, LDAP, Firewalls und Netzwerken abgleichen.

Wenn ein DCSync-Vorgang oder der Diebstahl von NTDS-Daten vermutet wird, muss die Reaktion auf eine vollständige Untersuchung der Active-Directory-Kompromittierung ausgeweitet werden. Das Ändern von Passwörtern allein kann unzureichend sein, wenn privilegierte Hashes, Geheimnisse von Computer-Konten oder Mechanismen für dauerhaften Zugriff weiterhin gültig sind.