Attacco informatico al consiglio comunale del Regno Unito collegato allo sfruttamento su larga scala di una vulnerabilità critica di SonicWall

L’incidente al consiglio comunale collegato a una campagna automatizzata più ampia

L’attacco informatico che ha colpito il Borough Council of King’s Lynn and West Norfolk è stato collegato con moderata confidenza a una campagna su larga scala che sfrutta CVE-2026-15409 negli apparati SonicWall SMA1000.

Il consiglio comunale ha annunciato pubblicamente il 17 luglio 2026 di aver rilevato un attacco che aveva interrotto i servizi comunali. Hunt.io ha identificato l’incidente e l’infrastruttura collegata agli attaccanti lo stesso giorno. Non è stata resa nota l’entità precisa dell’impatto sul consiglio comunale, compreso il fatto che siano state sottratte o meno informazioni personali o dati di Active Directory.

Gli elementi raccolti indicano che il consiglio comunale sia probabilmente finito nel mirino di attività di scansione opportunistica, anziché essere stato selezionato proprio perché ente della pubblica amministrazione locale. Gli inventari degli obiettivi recuperati comprendevano quasi 200.000 indirizzi identificati come sistemi SonicWall, appartenenti a enti governativi, strutture sanitarie, istituti finanziari, università, aziende manifatturiere, forze dell’ordine e provider di servizi IT gestiti.

La campagna è passata rapidamente dallo sfruttamento all’automazione su larga scala. Rapid7 ha pubblicato un proof of concept il 15 luglio 2026. Entro il 16 luglio 2026, un operatore aveva trasformato la tecnica in uno scanner capace di eseguire 50 thread simultanei. Il team Managed Detection and Response di Rapid7 aveva già osservato attività di sfruttamento prima che SonicWall pubblicasse il proprio advisory il 14 luglio.

I difensori hanno quindi avuto pochissimo margine di intervento. La scansione su larga scala è iniziata entro pochi giorni dalle prime attività malevole note.

CVE-2026-15409 trasforma un apparato SMA1000 in una piattaforma di comando

CVE-2026-15409 è una vulnerabilità di server-side request forgery nel proxy WebSocket utilizzato dal portale WorkPlace di SonicWall SMA1000. Ha ottenuto il punteggio CVSS v3 massimo, pari a 10, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Un attaccante può sfruttare la vulnerabilità da remoto senza credenziali né interazione dell’utente. La richiesta iniziale prende di mira l’endpoint /wsproxy dell’apparato e lo induce a connettersi a una destinazione non prevista.

I prodotti e le versioni interessati elencati dall’NVD sono:

Prodotto	Versione vulnerabile
SonicWall SMA6210	Firmware 12.4.3-03245
SonicWall SMA7210	Firmware 12.4.3-03245
SonicWall SMA8200v	12.4.3-03245

L’NVD contiene inoltre voci di prodotto per SMA6210 e SMA7210 il cui campo della versione è indicato come -. Il firmware corretto parte dalla versione 12.4.3-03453; gli operatori devono installare questa release o una versione successiva.

L’exploit induce l’apparato a connettersi nuovamente alla propria porta TCP 1050, che ospita un servizio Erlang collegato a CouchDB. Un cookie hardcoded incorporato nel firmware consente all’attaccante di completare la connessione Erlang e comunicare con il nodo [email protected].

I comandi inviati attraverso quella connessione vengono eseguiti sul sistema operativo sottostante con i privilegi dell’account couchdb. Sebbene la catena richieda diverse fasi, gli script possono completarla nel giro di pochi secondi.

CISA ha aggiunto CVE-2026-15409 al catalogo Known Exploited Vulnerabilities il 14 luglio 2026. La scadenza per la correzione fissata per le agenzie federali statunitensi era il 17 luglio 2026 e la vulnerabilità risulta essere stata utilizzata in campagne ransomware.

CISA richiede l’applicazione di misure di mitigazione coerenti con le istruzioni del vendor, con le indicazioni di BOD 26-04 per l’applicazione delle patch basata sul rischio e con i Forensics Triage Requirements. Quando le misure di mitigazione non sono disponibili, è necessario seguire le indicazioni cloud applicabili oppure interrompere l’utilizzo del prodotto.

Le credenziali sottratte all’apparato hanno aperto una via verso Active Directory

Dopo aver ottenuto l’esecuzione di comandi, l’operatore ha esaminato /usr/local/extranet/etc/policy_file.xml, che può contenere password LDAP memorizzate dall’apparato.

Le password erano protette con crittografia AES, ma la chiave fissa richiesta, composta da 32 byte, era incorporata in ASAPPasswordUtil.class. Questo design faceva sì che l’attaccante non avesse bisogno di un segreto univoco per ogni dispositivo. La stessa chiave estratta poteva decrittografare le credenziali LDAP memorizzate su tutti gli apparati vulnerabili.

L’operatore ha quindi scaricato in /tmp/secretsdump una build Linux standalone di secretsdump di Impacket, utilizzando curl per recuperarla da un’infrastruttura controllata dagli attaccanti. L’esecuzione diretta dell’utility sul dispositivo SonicWall ha fornito accesso ai sistemi Windows interni che l’apparato poteva già raggiungere legittimamente.

Quando le credenziali LDAP disponevano di privilegi sufficienti, potevano essere utilizzate direttamente contro i servizi di directory. Negli altri casi, gli attaccanti tentavano di estrarre i segreti SAM e LSA.

I dati LSA possono esporre l’hash NTLM associato all’account macchina di un domain controller. Poiché i domain controller dispongono normalmente dei diritti necessari alla replica della directory, l’operatore poteva utilizzare quell’hash per autenticarsi tramite pass-the-hash ed eseguire un’operazione DCSync.

Gli script della campagna automatizzavano il processo. Cercavano nei risultati di secretsdump i nomi degli account che terminavano con $, estraevano gli hash associati e avviavano richieste DCSync attraverso l’apparato compromesso. La tecnica ha avuto successo in cinque ambienti.

In questi casi, gli attaccanti hanno generato copie del database NTDS di Active Directory in /tmp sul sistema SonicWall. I file sono stati poi recuperati attraverso lo stesso canale di esecuzione dei comandi.

Un DCSync eseguito con successo può esporre su larga scala il materiale usato per autenticarsi alla directory. Di conseguenza, ricostruire soltanto l’apparato non rimuoverebbe l’accesso dell’attaccante se hash, password o token di autenticazione fossero già stati sottratti.

L’infrastruttura degli attaccanti lasciata esposta ha rivelato la portata della campagna

Hunt.io ha individuato una directory HTTP non autenticata sulla porta 80 all’indirizzo 95.181.173[.]36. Conteneva script di scansione e sfruttamento, strumenti per l’elaborazione delle credenziali, un binario standalone di Impacket e risultati di operazioni in corso.

I dati recuperati documentavano 250 apparati presi di mira. Tra questi:

• 168 esponevano file di configurazione LDAP contenenti credenziali.
• Questi file riguardavano 534 account Active Directory distribuiti su 160 nomi di dominio.
• Le configurazioni compromesse identificavano 255 indirizzi di server LDAP interni.
• Nove ambienti hanno perso i segreti SAM e LSA.
• Cinque ambienti hanno subito la replica completa di Active Directory tramite DCSync.
• Sette domain controller sono stati presi di mira dall’attività DCSync.

Il furto confermato di dati SAM e LSA ha interessato ambienti in Francia, India, Italia e Stati Uniti. L’inventario più ampio comprendeva gateway associati a organizzazioni nel Regno Unito, in Canada, Germania, Svezia, Polonia, Ungheria, Corea del Sud e Hong Kong.

Il caso di King’s Lynn and West Norfolk è quindi parte di un’operazione internazionale, non un’intrusione isolata. Tuttavia, il collegamento con moderata confidenza non dimostra che ogni attività post-exploitation documentata si sia verificata nell’ambiente del consiglio comunale.

Anche l’attribuzione resta irrisolta. Nei vari script recuperati comparivano commenti in lingua cinese, ma questo elemento non è sufficiente per identificare la posizione, la nazionalità o l’organizzazione di appartenenza dell’operatore.

Altri attori hanno sfruttato la stessa vulnerabilità in modo indipendente. L’attore tracciato come UTA0533 l’ha utilizzata per distribuire il malware KNUCKLEBALL, mentre anche il gruppo ransomware INC ha impiegato la catena. Non ci sono prove che tutte le attività di sfruttamento abbiano avuto origine da un unico gruppo.

Un apparato edge può eludere il normale monitoraggio degli endpoint

Il dispositivo SonicWall ha offerto agli attaccanti qualcosa di più dell’accesso iniziale. È diventato un host d’attacco interno, collocato al di fuori della copertura di monitoraggio abituale di molte organizzazioni.

Le connessioni da un apparato di accesso remoto verso server LDAP, host Windows o domain controller possono apparire plausibili dal punto di vista operativo. Quando secretsdump viene eseguito sull’apparato, sull’endpoint Windows preso di mira non compare alcun processo anomalo corrispondente da individuare.

L’attività può quindi eludere gli alert degli strumenti di endpoint detection, non lasciare processi evidenti dell’attaccante nei log degli eventi Windows e aggirare le regole SIEM scritte per sistemi Windows o Linux gestiti. Inoltre, i sistemi operativi degli apparati offrono ai difensori in genere una telemetria a livello di processo più limitata rispetto ai server tradizionali.

Questa lacuna di visibilità ha reso più difficile rilevare il furto di credenziali e la replica della directory. Il traffico di rete generato da un dispositivo edge considerato attendibile poteva confondersi con le attività di autenticazione e gestione previste.

CVE-2026-15409 non è inoltre l’unica recente voce relativa a SonicWall nel catalogo KEV. CVE-2026-15410 è stata aggiunta al catalogo il 14 luglio 2026 ed è segnalata per l’utilizzo in campagne ransomware. CVE-2026-83548 e CVE-2026-83549 sono state aggiunte il 2 settembre 2026. Le organizzazioni che utilizzano prodotti SonicWall dovrebbero tenere conto di questa sequenza più ampia nella revisione degli asset esposti.

L’applicazione delle patch è solo il primo passo della risposta

Gli operatori di SMA1000 devono aggiornare il firmware alla versione 12.4.3-03453 o successiva. I sistemi che potrebbero essere stati esposti prima dell’applicazione della patch richiedono attività di incident response, non un semplice aggiornamento software.

Le misure di ripristino raccomandate da SonicWall comprendono la ricreazione delle immagini degli apparati interessati, la rotazione delle credenziali degli utenti e degli amministratori e il reset dei token TOTP. Se non è possibile escludere lo sfruttamento, le credenziali memorizzate sull’apparato o raggiungibili attraverso di esso devono essere considerate compromesse.

I difensori dovrebbero cercare:

• Connessioni verso 95.181.173[.]36 tramite HTTP non autenticato sulla porta 80.
• Attività che coinvolgono /wsproxy e la porta TCP locale 1050.
• Accessi imprevisti al nodo Erlang.
• Il file /tmp/secretsdump.
• File del database NTDS o altri artefatti insoliti sotto /tmp.
• Accessi a /usr/local/extranet/etc/policy_file.xml.
• Estrazioni di segreti SAM o LSA.
• Autenticazioni che utilizzano hash degli account macchina dei domain controller.
• Richieste DCSync tramite pass-the-hash.
• Traffico LDAP, Windows o di replica insolito proveniente dall’apparato.

Il binario secretsdump segnalato ha il seguente hash SHA-256:

690f5031deede7d3357d0ca24c89866ae8c60e6c63b3a2c8bba813a6ac10ae5b

I percorsi specifici dei log SonicWall rilevanti per la campagna non sono stati resi noti. Gli investigatori dovrebbero conservare i log disponibili dell’apparato prima di ricrearne l’immagine e correlarli con la telemetria di domain controller, server LDAP, firewall e rete.

Quando si sospettano attività DCSync o il furto del database NTDS, la risposta deve estendersi a una valutazione completa della compromissione di Active Directory. Il solo cambio delle password potrebbe non essere sufficiente se hash privilegiati, segreti degli account macchina o meccanismi di accesso persistente restano validi.