Проблема нулевого дня у SonicWall: что нужно знать малому бизнесу о программе-вымогателе INC.

Автор: Крейг Тейлор

Я не могу зайти в кофейню, сыграть в гольф, пообщаться со старым другом, чтобы не зашла речь об ИИ. Как он влияет на вашу жизнь, вашу работу, вашу компанию? Кажется, все сосредоточено на передовых моделях ИИ и влиянии ИИ на нашу повседневную жизнь. В статье о уязвимостях нулевого дня SonicWall, приведенной ниже, ИИ занимает центральное место, потому что, ну, эти уязвимости нулевого дня, скорее всего, были обнаружены передовой моделью, использованы в качестве оружия передовой моделью с помощью концептуального доказательства, а затем устранены с помощью патчей, разработанных передовой моделью ИИ.

Современные модели искусственного интеллекта систематически проверяют на наличие уязвимостей все программное обеспечение, работающее в интернете, включая межсетевые экраны и сетевые устройства. Они проводят тестирование с такой скоростью и глубиной, каких раньше не достигала ни одна команда разработчиков. За последние шесть месяцев крупные производители межсетевых экранов выпустили в 10-25 раз больше патчей, чем за любой предыдущий период. Программы вознаграждения за обнаружение ошибок у некоторых поставщиков приостановлены, поскольку количество отправленных исправлений превышает возможности проверки. Команды разработчиков перегружены задачами по тестированию и развертыванию исправлений. Альянс «Пять глаз» в июне 2026 года выпустил совместное предупреждение о том, что у организаций есть месяцы на подготовку, а не годы. Две недавние уязвимости нулевого дня в межсетевых экранах SonicWall не являются единичным случаем. Они представляют собой закономерность, затрагивающую теперь всех поставщиков продуктов, работающих в интернете.

В статье ниже рассматривается один поставщик, но это применимо ко всем поставщикам, услугами которых вы пользуетесь. Их программы вознаграждения за обнаружение ошибок приостановлены, потому что они не справляются с обработкой поступающих заявок. Их разработчики перегружены тестированием и внедрением исправлений ошибок. Ситуация накаляется, и все работают не покладая рук… время готовиться и принимать решительные меры настало. Не ждите, пока будет слишком поздно.

Что случилось с SonicWall?

Исследователи в области безопасности с использованием искусственного интеллекта обнаружили две уязвимости в межсетевых экранах SonicWall, отслеживаемые как CVE-2026-15409 и CVE-2026-15410. Злоумышленники использовали обе уязвимости около трех недель, прежде чем SonicWall выпустила патч 14 июля. В течение этих трех недель хакеры объединили две уязвимости, чтобы получить полный доступ к затронутым устройствам, украсть данные и заблокировать сети с помощью программ-вымогателей.

Кто за этим стоит

После выхода патча наиболее активными злоумышленниками, использующими эти уязвимости, стала группа , занимающаяся вымогательством с использованием вредоносного ПО под названием INC . INC занимается вымогательством с 2023 года и уже затронула около 900 жертв в 71 стране. Компания Rapid7 отслеживала активность группы и обнаружила, что INC перешла от взлома к развертыванию программ-вымогателей быстрее, чем предыдущие злоумышленники, которые тестировали те же уязвимости до их публичного раскрытия.

Компания Rapid7 заявила, что в большинстве последних случаев ей удалось предотвратить кражу данных и шифрование, хотя, по крайней мере, в одном инциденте успешно использовалась программа-вымогатель. Другая компания, Resecurity, обнаружила, что INC разместила на своем сайте утечек в даркнете информацию о новых жертвах из Австралии, США, Объединенных Арабских Эмиратов, Колумбии и Швейцарии. Некоторые жертвы получали звонки и электронные письма от людей, оказывающих на них давление с целью заставить заплатить.

Почему это важно для вашего бизнеса

Это не первая проблема безопасности, связанная с устройствами SonicWall. Десять из семнадцати уязвимостей SonicWall, добавленных в федеральный список известных эксплуатируемых уязвимостей с 2021 года, связаны с кампаниями по распространению программ-вымогателей. Только на прошлой неделе исследователи обнаружили серию атак, в результате которых за два дня пострадали 30 клиентов SonicWall, использовавших украденные учетные данные для входа в систему.

Если ваша компания использует межсетевой экран SonicWall или любое другое устройство безопасности, подключенное к интернету, эта схема применима и к вам. Злоумышленники выбирают в качестве мишени популярное и широко распространенное оборудование, поскольку одна работающая уязвимость затрагивает тысячи организаций, использующих то же самое оборудование.

Практические советы для внедрения уже сегодня.

• Patch FasterВ SonicWall версии 7.1.1 и выше можно включить автоматическое обновление прошивки по установленному расписанию. Включайте эту функцию ежедневно с 1 до 2 часов ночи. Учитывая частоту атак после выпуска патчей, это разумная мера.
• Уменьшить поверхность атакиПроверьте порты и протоколы, разрешенные для входящего трафика через ваш брандмауэр. Обратите внимание на VPN-трафик или другие разовые решения. Если вам необходимо туннелировать SSH, ограничьте его доступ определенными IP-адресами, а не любыми IP-адресами.
• Выявите любые признаки проникновения.Проверьте журналы активности на предмет необычных действий, начиная с конца июня. Обратите внимание на попытки входа в систему, изменения конфигурации или незнакомый трафик.
• Заблаговременно изменить пароли администратора и сбросьте учетные данные, привязанные к вашему брандмауэру и VPN, особенно если вы давно их не меняли.
• Убедитесь, что многофакторная аутентификация включена для всего удаленного доступа (исключения не допущены). Эта простая привычка предотвращает большинство взломов с использованием учетных данных еще до их начала.

Ни один из этих шагов не требует большого бюджета или специальной команды специалистов по безопасности. Несколько часов целенаправленной работы защитят ваш бизнес от того, чтобы стать следующей компанией, чья информация будет использована для утечки данных.

Главный вывод CyberHoot

Межсетевые экраны иногда дают сбои, и когда это происходит, это может иметь серьезные последствия. Сегодня производители выпускают обновления быстрее, чем когда-либо прежде. Злоумышленники тоже адаптируются и атакуют быстрее. И как раз тогда, когда мы думали, что скорость уже не может увеличиться, она увеличивается. Включение ежедневных обновлений прошивки может показаться рискованным, но вопрос в том: лучше ли редкий сбой из-за неудачной установки прошивки, чем утечка данных?

Ваш следующий шаг

Выделите сегодня час на проверку настроек вашего межсетевого экрана. Включите автоматическое обновление прошивки (по возможности, ежедневно). Закройте ненужные порты, подтвердите многофакторную аутентификацию на всех устройствах удаленного доступа, сократите объем данных во внутренней сети и разверните ловушку для злоумышленников (honeypot).

Перешлите эту статью тому, кто отвечает за ИТ в вашей компании, даже если это вы сами. Несколько превентивных мер сегодня обеспечат вам душевное спокойствие, повысят ваши шансы противостоять темпам атак, которые мы наблюдаем сегодня, и позволят вам поделиться некоторыми обоснованными мерами с высшим руководством в условиях растущей обеспокоенности по поводу атак на модели искусственного интеллекта. И, конечно же, не забывайте о Hoot Up!

---

источники:

• Hacker News: Появилась программа-вымогатель INC, которая стала доминирующим игроком, использующим уязвимости в SonicWall SMA 1000.
• Агентство по кибербезопасности и защите инфраструктуры: Каталог известных эксплуатируемых уязвимостей
• В отчете Rapid7 за 2 квартал 2025 года о тенденциях в сфере программ-вымогателей (упоминается группа компаний INC, занимающаяся вымогательством) говорится о тенденциях в этой области.
• SocRadar разоблачает группу вымогателей INC.

---

Часто задаваемые вопросы

Какие уязвимости Sonicwall (CVE-2026-15409 и CVE-2026-15410) были недавно анонсированы? Это две уязвимости нулевого дня, затрагивающие межсетевые экраны SonicWall, которые эксплуатировались злоумышленниками в течение примерно трех недель, прежде чем SonicWall раскрыла информацию о них и исправила их 14 июля 2026 года. Злоумышленники объединяли эти две уязвимости, чтобы получить полный доступ к затронутым устройствам.

Кто стоит за атаками? Многие злоумышленники исследовали уязвимости до того, как они были обнародованы, но группа, занимающаяся распространением программ-вымогателей как услуги (ransomware as a service) с 2023 года, стала наиболее известным и эффективным злоумышленником, использующим цепочку уязвимостей с момента её раскрытия.

Сколько организаций пострадало? Точное число неизвестно. Компания Rapid7 отреагировала на несколько инцидентов и в большинстве из них предотвратила кражу или шифрование данных, но исследователи говорят, что полный масштаб проблемы, вероятно, выходит далеко за рамки того, что может увидеть любой отдельный поставщик решений в области безопасности. Компания INC разместила на своем сайте, посвященном утечкам, список новых жертв из разных стран.

Это первый случай, когда SonicWall сталкивается с подобной проблемой? Нет. В последние годы SonicWall уже сталкивалась с целым рядом проблем безопасности, включая другие активно используемые уязвимости нулевого дня, массовую атаку с использованием учетных данных, затронувшую 30 клиентов за два дня, и предыдущий инцидент, когда злоумышленники украли файлы конфигурации межсетевого экрана у всех клиентов SonicWall.

Что следует предпринять клиентам SonicWall сейчас? Немедленно установить доступные обновления, просмотреть журналы на предмет подозрительной активности, начиная с конца июня, сменить учетные данные, связанные с затронутыми устройствами, и внимательно отслеживать поведение подключенных к интернету устройств SonicWall.

Защитите свой бизнес с CyberHoot сегодня!