A operação INC Ransomware surgiu como o principal threat actor a explorar as falhas de segurança divulgadas recentemente nos appliances VPN SonicWall Secure Mobile Access (SMA) da série 1000.
Em um relatório publicado no fim de semana, a Resecurity informou ter observado um aumento acelerado da atividade do INC Ransomware desde o início de agosto de 2026, com várias vítimas listadas em seu site de vazamento de dados.
Segundo estatísticas do Ransomware.Live, o grupo já reivindicou 885 vítimas até o momento, sendo a mais recente adicionada em 2 de agosto de 2026.
Suspeita-se que os ataques envolvam a exploração de
CVE-2026-15409
e
CVE-2026-15410
, que podem ser combinadas para viabilizar a execução arbitrária de comandos e assumir o controle de dispositivos vulneráveis.
As correções para o par de vulnerabilidades foram disponibilizadas pela SonicWall em meados de julho de 2026.
As duas falhas são consideradas exploradas como zero-days.
A Rapid7 afirmou que os ataques usaram o ponto de apoio inicial para extrair credenciais de alto valor, bancos de dados de sessões ativas e configurações de sementes de autenticação multifator baseada em senhas temporárias de uso único, conhecidas como TOTP, com o objetivo de manter acesso persistente por longo prazo e, por fim, avançar lateralmente pela rede corporativa interna.
Em um relatório complementar, a Volexity atribuiu a exploração anterior à divulgação, iniciada em 22 de junho de 2026, a um cluster de ameaças monitorado como UTA0533.
Os ataques envolvem a implantação de um script em Python chamado KNUCKLEBALL, usado para iniciar o Suo5, um proxy HTTP de código aberto, e um shell web Java personalizado semelhante ao Behinder, apelidado de ORANGETAIL.
A Rapid7 informou que a campanha apresenta sobreposições táticas significativas com suas próprias investigações.
“Essa forte correlação técnica indica que um único threat actor, ou um grupo coordenado, é responsável por descobrir e explorar essa vulnerabilidade zero-day”, afirmou Douglas McKee, diretor de inteligência de vulnerabilidades da Rapid7.
“Mais recentemente, o INC Ransomware emergiu como o principal threat actor que está armando ativamente essa cadeia de vulnerabilidades.”
A Resecurity informou que as novas vítimas listadas no site do INC Ransomware entre 17 de julho e 1º de agosto de 2026 incluem organizações do setor privado e órgãos governamentais da Austrália, dos Estados Unidos, dos Emirados Árabes Unidos, da Colômbia, da Suíça e de outros países.
A empresa de cibersegurança também revelou que “muitas das novas vítimas receberam e-mails, além de ligações telefônicas de organizações desconhecidas que afirmavam ajudar com problemas relacionados a ransomware”.
Em alguns casos, as vítimas também teriam sido contatadas por uma pessoa que se identificou como “Andrew” e usou o número +1 (304) 384-0401.
“Ele afirmou estar ligando ‘de um grupo de hackers’ e disse que a rede da vítima havia sido comprometida”, observou a empresa.
“Ao final da ligação, o indivíduo forneceu o endereço de e-mail info@helprans[.]com para negociações adicionais e então encerrou a chamada.
Esse tipo de método é frequentemente usado por grupos de ransomware como tática de pressão.”
Os clientes são orientados a aplicar imediatamente o patch mais recente nos appliances SMA 1000, caso isso ainda não tenha sido feito.
A Resecurity também recomenda uma caça abrangente a ameaças, rotação de credenciais e verificação de integridade, além da correção, para reduzir o risco.
“Identifique endereços de origem externos que interagiram com /wsproxy ou usaram parâmetros incomuns e correlacione isso com atividade interna de autenticação e de movimento lateral”, acrescentou.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...