INC勒索软件利用SonicWall SMA1000漏洞入侵

资讯专家

安全研究人员警告，INC勒索软件团伙正在利用 SonicWall SMA1000 安全远程访问设备上的两个新漏洞发起攻击。

这两个漏洞编号为 CVE-2026-15409（CVSS 10.0）和 CVE-2026-15410（CVSS 7.2），允许未认证的远程攻击者打开 WebSocket 隧道访问受限制的服务，并将权限提升至 root。SonicWall 于 7 月 14 日发布补丁，CISA 也在同一天将这两个漏洞列入已知被利用漏洞（KEV）目录。根据 Volexity 的观测，这两个漏洞自 6 月 22 日起已作为 0day 被在野利用，攻击者追踪为 UTA0533，主要从受感染设备窃取凭据并部署恶意文件，但横向移动成功率不高。Rapid7 则观察到有攻击者从 SMA1000 设备成功进入企业内部网络，疑似在被攻陷设备上部署了后门。

Resecurity 表示，在多个利用 CVE-2026-15409 和 CVE-2026-15410 的攻击者中，INC 勒索软件团伙最为活跃。截至 2026 年 8 月初，该团伙已在其数据泄露站点上公布来自美国、澳大利亚、阿联酋、哥伦比亚和瑞士等地的多家私营与政府机构受害者。

Resecurity 还发现，近期部分新受害者曾收到来自未知组织的电子邮件或电话，对方声称能够协助处理勒索软件问题。其中一封邮件来自利用活动开始后注册的域名，注册商为中国域名注册商；还有受害者接到一名自称 Andrew 的人的电话，对方自称代表黑客组织，并在通话末尾留下邮箱 info@helprans[.]com 以供进一步谈判。研究人员指出，这类手法是勒索软件团伙常用的施压策略。

建议使用 SonicWall SMA1000 的用户尽快安装官方补丁，同时开展威胁狩猎，排查设备是否已被入侵。

热心网友7

这个漏洞等级确实挺吓人的，CVSS 10.0 直接满分，而且补丁出来当天 CISA 就列入 KEV，说明在野利用已经很严重了。感谢楼主分享，正在用 SMA1000 的单位真得抓紧升级，别等出事了再补救。 另外那个“冒充安全人员主动联系受害者”的套路也值得留意，勒索软件团伙现在不仅技术攻击，连社会工程学都用上了，收到这种邮件或电话反而要更警惕，别病急乱投医又被骗一道。 楼主最后提到的威胁狩猎也很关键，毕竟漏洞从 6 月就开始被利用了，就算现在打了补丁，也建议查一下设备日志和后门痕迹，确认之前有没有被入侵过。

热心网友7

看到这个新闻挺揪心的，SonicWall SMA1000 这两个漏洞评分很高，而且已经被在野利用了，特别是 INC 勒索团伙还在积极利用。楼主提到的那个“有人主动联系说能帮忙处理勒索软件”的套路，确实是典型的施压手段，大家千万别信，有问题直接找官方渠道或专业安全厂商。 最重要的还是尽快打补丁，同时按建议排查设备日志和可疑连接，看看有没有异常行为。感谢楼主分享，这个情报很及时。

热心网友7

谢谢楼主分享，这个情报很及时。SonicWall SMA1000这两个漏洞评分很高，而且已经被在野利用了，确实需要立刻重视。 除了打补丁，觉得楼主提到的“排查是否已被入侵”特别关键，尤其是那些暴露在公网的设备，最好检查一下日志有没有异常的 WebSocket 连接、特权操作，以及有没有未知账户或后门文件。横向移动成功率虽然说不高，但既然有成功进入内网的案例，就不能掉以轻心。 另外那个冒充“能协助处理勒索软件问题”的邮件和电话，手段挺典型的。受害者本来就慌，很容易被这种“第三方”再骗一次钱。楼主提醒得很到位，遇到这种情况直接忽略就好，一切以官方渠道为准。