Une cyberattaque visant un conseil britannique liée à l’exploitation massive d’une faille critique de SonicWall

L’incident du conseil lié à une campagne automatisée de plus grande ampleur

La cyberattaque qui a touché le Borough Council of King’s Lynn and West Norfolk a été associée avec un niveau de confiance modéré à une campagne d’envergure exploitant CVE-2026-15409 sur des appliances SonicWall SMA1000.

Le conseil a annoncé publiquement le 17 juillet 2026 avoir détecté une attaque perturbant ses services. Hunt.io a identifié l’incident et l’infrastructure associée aux attaquants le même jour. L’impact précis sur le conseil — notamment pour déterminer si des informations personnelles ou des données Active Directory ont été dérobées — n’a pas été communiqué.

Les éléments disponibles indiquent que le conseil a probablement été pris dans une campagne de balayage opportuniste, plutôt que ciblé spécifiquement en tant qu’organisme local. Les inventaires de cibles récupérés comprenaient près de 200 000 adresses identifiées comme des systèmes SonicWall, dans des secteurs aussi variés que l’administration, la santé, la finance, les universités, l’industrie manufacturière, les forces de l’ordre et les fournisseurs de services informatiques managés.

La campagne est rapidement passée de l’exploitation à l’automatisation de masse. Rapid7 a publié un proof of concept le 15 juillet 2026. Dès le 16 juillet 2026, un opérateur avait transformé cette technique en scanner capable d’exécuter 50 threads simultanément. L’équipe Managed Detection and Response de Rapid7 avait déjà observé des exploitations avant la publication de l’avis de SonicWall, le 14 juillet.

Les défenseurs n’ont donc pratiquement bénéficié d’aucun délai. Un balayage à grande échelle a suivi dans les jours qui ont fait suite aux premières activités malveillantes connues.

CVE-2026-15409 transforme une appliance SMA1000 en plateforme de commande

CVE-2026-15409 est une vulnérabilité de type server-side request forgery affectant le proxy WebSocket utilisé par le portail WorkPlace de SonicWall SMA1000. Elle atteint le score CVSS v3 maximal de 10, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Un attaquant peut exploiter cette faille à distance, sans identifiants ni interaction de l’utilisateur. La requête initiale cible le point de terminaison /wsproxy de l’appliance et l’amène à se connecter à une destination inattendue.

Les produits et versions concernés listés par la NVD sont les suivants :

Produit	Version vulnérable
SonicWall SMA6210	Firmware 12.4.3-03245
SonicWall SMA7210	Firmware 12.4.3-03245
SonicWall SMA8200v	12.4.3-03245

La NVD contient également des entrées correspondant aux produits SMA6210 et SMA7210 dont le champ de version est indiqué par -. Les firmwares corrigés commencent par 12.4.3-03453. Les opérateurs doivent installer cette version ou une version ultérieure.

L’exploit renvoie l’appliance vers son propre port TCP 1050, qui héberge un service Erlang lié à CouchDB. Un cookie codé en dur intégré au firmware permet à l’attaquant d’établir la connexion Erlang et de communiquer avec le nœud [email protected].

Les commandes transmises par cette connexion sont exécutées sur le système d’exploitation sous-jacent avec les privilèges du compte couchdb. Bien que la chaîne d’exploitation comporte plusieurs étapes, des scripts peuvent l’exécuter en quelques secondes.

La CISA a ajouté CVE-2026-15409 à son catalogue Known Exploited Vulnerabilities le 14 juillet 2026. La date limite de remédiation pour les agences fédérales américaines était fixée au 17 juillet 2026, et la vulnérabilité est décrite comme ayant été utilisée dans des campagnes de ransomware.

La CISA impose des mesures d’atténuation conformes aux instructions du fournisseur, aux recommandations de correction fondées sur les risques de la directive BOD 26-04 et à ses Forensics Triage Requirements. Lorsque aucune mesure d’atténuation n’est disponible, les recommandations applicables en matière de services cloud doivent être suivies ou le produit doit être retiré du service.

Des identifiants d’appliance dérobés ont ouvert un accès à Active Directory

Après avoir obtenu la capacité d’exécuter des commandes, l’opérateur a examiné le fichier /usr/local/extranet/etc/policy_file.xml, qui peut contenir des mots de passe LDAP stockés par l’appliance.

Ces mots de passe étaient protégés par un chiffrement AES, mais la clé fixe de 32 octets nécessaire était intégrée à ASAPPasswordUtil.class. L’attaquant n’avait donc pas besoin d’obtenir un secret propre à chaque appareil. La même clé extraite pouvait déchiffrer les identifiants LDAP stockés sur plusieurs appliances vulnérables.

L’opérateur a ensuite téléchargé une version Linux autonome de secretsdump d’Impacket dans /tmp/secretsdump, en utilisant curl pour la récupérer depuis une infrastructure contrôlée par les attaquants. L’exécution directe de l’utilitaire sur l’appareil SonicWall a permis d’accéder à des systèmes Windows internes que l’appliance pouvait déjà atteindre légitimement.

Lorsque les identifiants LDAP disposaient de privilèges suffisants, ils pouvaient être utilisés directement contre les services d’annuaire. Dans le cas contraire, les attaquants tentaient d’extraire les secrets SAM et LSA.

Les données LSA peuvent révéler le hachage NTLM associé au compte machine d’un contrôleur de domaine. Les contrôleurs de domaine disposant normalement de droits de réplication d’annuaire, l’opérateur pouvait utiliser ce hachage pour s’authentifier par pass-the-hash et effectuer une opération DCSync.

Les scripts de la campagne automatisaient ce processus. Ils recherchaient dans la sortie de secretsdump les noms de comptes se terminant par $, extrayaient les hachages associés et lançaient des requêtes DCSync depuis l’appliance compromise. Cette technique a réussi dans cinq environnements.

Dans ces cas, les attaquants ont généré des copies de la base de données Active Directory NTDS dans /tmp, sur le système SonicWall. Les fichiers ont ensuite été récupérés via le même canal d’exécution de commandes.

Une opération DCSync réussie peut exposer à grande échelle les éléments d’authentification de l’annuaire. Par conséquent, reconstruire uniquement l’appliance ne suffirait pas à supprimer l’accès des attaquants si des hachages, des mots de passe ou des jetons d’authentification avaient déjà été dérobés.

Une infrastructure ouverte aux attaquants a révélé l’ampleur de la campagne

Hunt.io a découvert un répertoire HTTP non authentifié sur le port 80 à l’adresse 95.181.173[.]36. Il contenait des scripts de balayage et d’exploitation, des outils de traitement des identifiants, un binaire Impacket autonome ainsi que des résultats issus d’opérations en cours.

Les données récupérées documentaient 250 appliances ciblées. Parmi elles :

• 168 exposaient des fichiers de configuration LDAP contenant des identifiants.
• Ces fichiers concernaient 534 comptes Active Directory répartis sur 160 noms de domaine.
• Les configurations compromises identifiaient 255 adresses de serveurs LDAP internes.
• Neuf environnements ont perdu leurs secrets SAM et LSA.
• Cinq environnements ont subi une réplication complète d’Active Directory au moyen de DCSync.
• Sept contrôleurs de domaine ont été ciblés par l’activité DCSync.

Le vol confirmé de secrets SAM et LSA a touché des environnements en France, en Inde, en Italie et aux États-Unis. L’inventaire plus large comprenait des passerelles associées à des organisations situées au Royaume-Uni, au Canada, en Allemagne, en Suède, en Pologne, en Hongrie, en Corée du Sud et à Hong Kong.

Le cas de King’s Lynn and West Norfolk constitue donc un volet d’une opération internationale, et non une intrusion isolée. Toutefois, l’établissement du lien avec la campagne, qui demeure modérément fiable, ne permet pas de conclure que toutes les actions post-exploitation documentées ont eu lieu dans l’environnement du conseil.

L’attribution reste également indéterminée. Des commentaires en chinois apparaissaient dans l’ensemble des scripts récupérés, mais ces éléments ne suffisent pas à identifier le lieu, la nationalité ou l’affiliation organisationnelle de l’opérateur.

D’autres acteurs ont exploité indépendamment la même vulnérabilité. L’acteur suivi sous le nom UTA0533 s’en est servi pour déployer le malware KNUCKLEBALL, tandis que le groupe de ransomware INC a également utilisé cette chaîne. Rien ne permet d’affirmer que toutes les activités d’exploitation provenaient d’un seul et même groupe.

Une appliance en périphérie peut échapper à la supervision habituelle des terminaux

L’appareil SonicWall a offert aux attaquants bien plus qu’un accès initial. Il est devenu un hôte d’attaque interne, situé en dehors du périmètre habituel de supervision de nombreuses organisations.

Les connexions d’une appliance d’accès distant vers des serveurs LDAP, des hôtes Windows ou des contrôleurs de domaine peuvent sembler cohérentes avec l’activité opérationnelle. Lorsque secretsdump est exécuté sur l’appliance, aucun processus malveillant correspondant n’est nécessairement visible sur le terminal Windows ciblé.

L’activité peut ainsi ne déclencher aucune alerte de détection sur les terminaux, ne laisser aucun processus d’attaquant évident dans les journaux d’événements Windows et contourner les règles SIEM conçues pour les systèmes Windows ou Linux administrés. Les systèmes d’exploitation des appliances fournissent également souvent aux défenseurs moins de données de télémétrie au niveau des processus que les serveurs classiques.

Cette lacune de visibilité a rendu plus difficiles la détection du vol d’identifiants et celle de la réplication d’annuaire. Le trafic réseau généré par un équipement de périphérie de confiance pouvait se fondre dans les activités d’authentification et d’administration attendues.

CVE-2026-15409 n’est pas non plus la seule vulnérabilité récente de SonicWall inscrite au catalogue KEV. CVE-2026-15410 y a été ajoutée le 14 juillet 2026 et est signalée comme utilisée dans des ransomwares. CVE-2026-83548 et CVE-2026-83549 ont été ajoutées le 2 septembre 2026. Les organisations exploitant des produits SonicWall doivent tenir compte de cette séquence plus large lors de l’examen de leurs actifs exposés.

Appliquer les correctifs n’est que la première étape de la réponse

Les opérateurs de SMA1000 doivent mettre à niveau le firmware vers la version 12.4.3-03453 ou une version ultérieure. Les systèmes qui ont pu être exposés avant l’application du correctif nécessitent une intervention de réponse à incident, et pas seulement une mise à jour logicielle.

Les mesures de récupération recommandées par SonicWall comprennent la réinstallation complète des appliances concernées, la rotation des identifiants utilisateurs et administrateurs ainsi que la réinitialisation des jetons TOTP. Si l’exploitation ne peut pas être exclue, les identifiants stockés sur l’appliance ou accessibles depuis celle-ci doivent être considérés comme compromis.

Les défenseurs doivent rechercher :

• Des connexions vers 95.181.173[.]36 en HTTP non authentifié sur le port 80.
• Une activité impliquant /wsproxy et le port TCP local 1050.
• Un accès inattendu au nœud Erlang.
• Le fichier /tmp/secretsdump.
• Des fichiers de base de données NTDS ou d’autres artefacts inhabituels dans /tmp.
• Un accès à /usr/local/extranet/etc/policy_file.xml.
• L’extraction de secrets SAM ou LSA.
• Des authentifications utilisant les hachages de comptes machine de contrôleurs de domaine.
• Des requêtes DCSync par pass-the-hash.
• Un trafic LDAP, Windows ou de réplication inhabituel provenant de l’appliance.

Le binaire secretsdump signalé présente le hachage SHA-256 suivant :

690f5031deede7d3357d0ca24c89866ae8c60e6c63b3a2c8bba813a6ac10ae5b

Les chemins précis des journaux SonicWall pertinents pour cette campagne n’ont pas été communiqués. Les enquêteurs doivent conserver les journaux disponibles de l’appliance avant sa réinstallation complète et les corréler avec la télémétrie des contrôleurs de domaine, des serveurs LDAP, des pare-feu et du réseau.

Lorsqu’une opération DCSync ou un vol de données NTDS est suspecté, la réponse doit s’étendre à une évaluation complète de la compromission d’Active Directory. De simples changements de mots de passe peuvent s’avérer insuffisants si des hachages privilégiés, des secrets de comptes machine ou des mécanismes de persistance restent valides.