INCランサムウェアがSonicWall SMA 1000脆弱性を悪用、認証情報窃取から内部ネットワークへ展開

SonicWall Secure Mobile Access(SMA)1000シリーズのゼロデイ脆弱性CVE-2026-15409とCVE-2026-15410を悪用する攻撃について、INCランサムウェアが主要な攻撃主体として活動している可能性が高まりました。Resecurityは2026年8月1日、INCランサムウェアが両脆弱性を組み合わせた攻撃チェーンを積極的に悪用していると報告しました。

Rapid7とVolexityによる先行調査では、攻撃者がSMA 1000アプライアンス上でroot権限を取得した後、保存された認証情報、アクティブなセッションデータベース、多要素認証(MFA)で使われる時刻ベースワンタイムパスワード(TOTP)のシードなどを窃取していたことが確認されています。さらに、侵害したアプライアンスを踏み台として、VPNセッションを使用せずに内部のActive Directoryへ認証を試みる活動も観測されました。

TKC Tech Labでは2026年7月15日、両脆弱性の影響製品、修正版、CISA KEV登録、SonicWallが公開した侵害痕跡(IoC)を速報記事で整理しています。今回の記事ではその内容を繰り返すのではなく、その後判明した攻撃者の活動、INCランサムウェアとの関連、侵害後に必要となる調査と復旧を中心に解説します。

今回判明した内容

公表までの時系列

最初の侵害確認から修正版公開まで約3週間ありました。この期間に脆弱なSMA 1000をインターネットへ公開していた環境は、更新済みであっても調査対象として扱う必要があります。また、公開後は脆弱性の技術情報が広く共有されるため、7月14日以降に未更新だった期間についても確認が必要です。

SMA 1000が攻撃者に狙われる理由

SMA 1000は、外部の利用者を社内システムへ接続する境界上の機器です。製品の性質上インターネットへ公開され、Active DirectoryやLDAP、MFA、社内アプリケーションと連携します。

一般的なWebサーバーが侵害された場合と異なり、リモートアクセス機器には利用者の本人確認と接続制御に必要な情報が集まっています。アプライアンス上でroot権限を取得した攻撃者は、機器内部のファイルだけでなく、通過する認証処理やセッション、内部ネットワークへの接続機能を悪用できる可能性があります。

• 認証基盤との連携:Active DirectoryやLDAPへ接続するサービスアカウントを保持する
• リモートアクセス情報:利用者のセッション、アクセス先、認証状態を処理する
• MFA情報:構成によってはTOTPシードなど認証に関わる秘密情報を保持する
• 内部への到達性:社内ネットワーク上のサーバーやアプリケーションへ接続できる
• 境界機器としての信頼:SMAの内部IPアドレスからの通信が正規通信として扱われやすい

Rapid7が確認した「VPNセッションなしのActive Directory認証」は、この設計上の信頼を悪用した活動です。外部の攻撃者が新しいVPN接続を確立するのではなく、すでに内部から信頼されているSMAアプライアンス自体を攻撃拠点として利用していました。

既報のSMA 1000ゼロデイ2件

今回の攻撃で悪用されているのは、SonicWallが2026年7月14日に公表したCVE-2026-15409とCVE-2026-15410です。

• CVE-2026-15409:利用者向けポータルであるWorkPlaceインターフェースに存在する、認証不要のサーバーサイドリクエストフォージェリ(SSRF)。CVSS v3.1の基本値は10.0
• CVE-2026-15410:アプライアンス管理コンソール(Appliance Management Console、AMC)に存在するコードインジェクション。管理者権限を持つ攻撃者が任意のOSコマンドを実行できる可能性があり、CVSS v3.1の基本値は7.2

個別のCVSSではCVE-2026-15410の方が低く評価されていますが、実際の攻撃では2件が連結されます。CVE-2026-15409で外部からアプライアンス内部のサービスへ到達し、CVE-2026-15410を悪用してroot権限へ昇格することで、認証情報を持たない攻撃者がSMA 1000を完全に制御できる可能性があります。

影響製品、修正ビルド、SonicWallが公開したログ上のIoC、復旧手順については、以下の速報記事で詳しく整理しています。

SonicWall SMA 1000のゼロデイ2件が実悪用中 — CVE-2026-15409とCVE-2026-15410

INCランサムウェアが主要な悪用主体として浮上

Resecurityは、INCランサムウェアがSMA 1000の脆弱性チェーンを積極的に武器化し、主要な攻撃主体になっていると評価しました。同社は8月初旬にINCランサムウェアの活動が加速し、データリークサイトへ複数の新しい被害組織が掲載されたと報告しています。

Rapid7もThe Hacker Newsへの説明で、自社が調査した攻撃と、VolexityがUTA0533として追跡する活動の戦術・技術・手順に強い共通点があるとしています。Rapid7は、この技術的な相関から、単一の攻撃主体または連携するグループがゼロデイ脆弱性を発見・悪用した可能性を指摘し、その後はINCランサムウェアが主要な悪用主体として活動していると説明しました。

ただし、UTA0533とINCランサムウェアが完全に同一の組織であると確定したわけではありません。また、INCランサムウェアのデータリークサイトへ掲載されたすべての組織が、SMA 1000の脆弱性を経由して侵害されたと確認されたわけでもありません。

現時点で裏付けられているのは、SMA 1000のゼロデイ攻撃に複数の調査事例間で強い技術的共通点があり、INCランサムウェアがこの攻撃チェーンを積極的に利用していると複数のセキュリティ企業が評価していることです。攻撃主体の帰属と、個々の被害組織の侵入経路は分けて判断する必要があります。

Volexityが確認したUTA0533の攻撃

Volexityは2026年7月17日、SMA 1000を狙ったゼロデイ攻撃の詳細を公開しました。同社が調査した環境では、最も早い侵害の痕跡が6月22日に確認されています。これはSonicWallが修正版を公開した7月14日より3週間以上前です。

VolexityがUTA0533と命名した攻撃者は、複数の脆弱性を組み合わせてアプライアンス上でroot権限を取得し、SMA向けに作られたマルウェアを展開していました。

• ROOTRUN:/usr/bin/xzfindへ配置されたsetuidバイナリ。非特権ユーザーがroot権限で任意のコマンドを実行できる永続的な権限昇格手段
• KNUCKLEBALL:正規のSonicWallプロセスへSuo5とORANGETAILを読み込ませるために使用されたPython製のローダー
• Suo5:侵害したアプライアンスを経由して内部ネットワークへの通信を中継する、オープンソースのHTTPプロキシ
• ORANGETAIL:暗号化された指示の受信や遠隔操作に使用されたJava製Webシェル

ROOTRUNはディスク上に残るsetuidバイナリで、Webシェルが削除された後もroot権限でのコマンド実行に利用される可能性があります。一方、KNUCKLEBALLはSuo5とORANGETAILを正規のSonicWallプロセスへメモリ上で読み込ませます。このため、ファイルの有無だけを確認する通常のウイルス対策では、侵害を見落とす可能性があります。Volexityは、ログ、ディスクイメージ、実行中のメモリを組み合わせて分析することで攻撃を特定しました。

Volexityの調査では、UTA0533はSMAアプライアンスの侵害と認証情報の収集には高い能力を示したものの、同社が調査した事例では内部ネットワークへの横展開は限定的でした。一方、Rapid7が調査した別の事例では、内部のドメインコントローラーへの認証が実際に確認されています。

認証情報とTOTPシードが窃取された

Rapid7は、攻撃者がSMA 1000へ侵入した後、次の情報を組織的に収集していたと報告しています。

• ユーザーと管理者の認証情報:SMAや接続先サービスで使われるアカウント情報
• アクティブなセッションデータベース:現在有効なリモートアクセスセッションに関する情報
• TOTPシード:時刻ベースのワンタイムパスワードを生成するための秘密情報
• LDAPサービスアカウント:SMAとActive Directoryの連携に使用される認証情報

特に重要なのがTOTPシードです。TOTPは一般に多要素認証の安全性を高める仕組みですが、コードを生成する元のシードを攻撃者に取得されると、同じワンタイムパスワードを生成される可能性があります。利用者のパスワードだけを変更しても、窃取されたTOTPシードは無効になりません。

SonicWallが侵害確認時にTOTPトークンのリセットを求めているのは、このためです。SMA 1000が侵害された可能性がある場合は、ユーザーと管理者のパスワード変更に加え、MFAデバイスやTOTPシードの再登録が必要です。

VPNセッションなしでActive Directoryへ移動

Rapid7の調査では、侵害されたSMAアプライアンスの内部IPアドレスから、組織のActive Directoryドメインコントローラーへ異常な認証が行われていました。

この活動には、通常の企業端末として登録されていないホスト名や、攻撃用環境で使われることが多い名称が使用されていました。認証にはSMAへ設定されていたLDAPサービスアカウントが利用され、対応するVPNセッションは存在しませんでした。

通常のSMA利用では、利用者のVPN接続やポータルセッションと、それに伴う内部アクセスを関連付けられます。しかし今回の活動では、VPN利用者のセッションを経由せず、アプライアンス自体が内部ネットワークへの踏み台として動作していました。

このため、VPNログだけを確認して「不審な接続はなかった」と判断することはできません。SMAの内部IPアドレスを送信元とするActive Directory認証、WindowsイベントID 4624のネットワークログオン、LDAPサービスアカウントの利用履歴を確認する必要があります。

影響バージョンと更新状況を再確認

今回の続報を受け、SMA 1000の管理者は製品名だけでなく、実際に稼働しているビルド番号を再確認してください。

対象はSMA 6210、7210、8200vに加え、すべてのハイパーバイザー上のCentral Management Server(CMS)です。SonicWallファイアウォールが提供するSSL-VPN機能とSMA 100シリーズは、今回の2件の影響対象ではありません。製品名が似ているため、資産台帳ではモデル、CMSの有無、ビルドを組み合わせて確認してください。

高可用性構成や複数拠点で運用している場合は、一部のノードだけが古いビルドのまま残っていないかも確認します。待機系、検証環境、災害復旧環境、停止中の旧アプライアンスが外部から到達可能な状態で残っていると、攻撃経路になる可能性があります。

パッチ適用済みでも侵害が残る可能性

修正版への更新は新しい攻撃を防ぐために必要ですが、すでにアプライアンスへ配置されたマルウェアや、窃取された認証情報を削除するものではありません。

攻撃者がroot権限を取得していた場合、設定やログ、認証情報、セッションデータを改変されている可能性があります。SMAの更新画面で修正版が表示されていても、アプライアンスの完全性が保たれているとは限りません。

SonicWallは、侵害が確認された物理アプライアンスを再イメージし、仮想アプライアンスを再デプロイするよう推奨しています。また、ユーザーと管理者のパスワード変更、TOTPトークンのリセットも必要です。

復旧前に認証情報だけを変更すると、アプライアンス上に残った攻撃者が新しい認証情報を再取得する可能性があります。原則として、調査と証拠保全、攻撃者の排除、アプライアンスの再構築、認証情報の変更という順序で対応します。

確認すべきログと挙動

既存の速報記事では、SonicWall公式アドバイザリが示したextraweb_access.log、ctrl-service.log、/var/lib/unit/conf.jsonなどのIoCを紹介しました。Rapid7の追加調査によって、次の確認項目も重要になっています。

• WebSocket関連ログ:/wsproxyへのHTTP 101応答と、不審なhostパラメーターを含むアクセス
• 緊急修正プログラム(hotfix)の削除処理:ctrl-service.logに記録された不審なパスやスクリプトを指定した処理
• セッションデータへのアクセス:一時領域に保存されたセッションデータベースへの不審なアクセス
• ROOTRUN:/usr/bin/xzfindに想定外のsetuidバイナリが存在しないか、作成時刻とハッシュを確認する
• 設定改変:/var/lib/unit/conf.jsonへ不正なルート定義が追加されていないか
• Active Directory認証:SMAの内部IPアドレスを送信元とするログオンやLDAP認証
• VPNと対応しない通信:有効なVPNセッションがない状態で発生した内部システムへの接続
• 不審な端末名:資産台帳に存在しない端末名を使ったドメイン認証
• 認証情報の変更:SMA、LDAP、Active Directoryでの不審なアカウント追加や権限変更

公開済みのIoCが見つからないことは、侵害されていない証明にはなりません。攻撃者はアクセス元IPアドレス、ファイル名、通信方法を変更できます。既知の文字列検索だけでなく、通常の運用と異なる認証・通信・設定変更を時系列で調査する必要があります。

INCランサムウェアを想定した調査範囲

INCランサムウェアとの関連が指摘されたことで、調査範囲をSMAアプライアンスだけに限定すべきではありません。認証情報の窃取と内部ネットワークへの移動が成功していた場合、後続のデータ窃取やランサムウェア展開が別の端末から行われる可能性があります。

• ドメインコントローラー:異常なネットワークログオン、サービスアカウント利用、管理者グループ変更を確認
• ファイルサーバー:短時間での大量ファイル参照、圧縮、外部転送の兆候を確認
• バックアップ環境:バックアップ削除、管理者ログイン、保存先設定の変更を確認
• 仮想基盤:ESXi、Hyper-V、管理サーバーへの不審な接続や認証を確認
• エンドポイント:遠隔操作ツール、資格情報窃取ツール、横展開ツールの実行痕跡を確認
• 外部通信:通常利用しないクラウドストレージ、ファイル共有、匿名化サービスへの大量転送を確認

INCランサムウェアは、データを窃取して公開を迫る二重恐喝型の活動で知られています。暗号化が発生していない場合でも、情報窃取や恐喝の準備が進んでいる可能性があります。ランサムウェア本体の実行痕跡がないことだけで調査を終了しないでください。

実務上の推奨対応

SMA 1000シリーズを運用する組織は、次の順序で対応してください。

• 修正版の確認:12.4.3-03453以降、または12.5.0-02835以降へ更新されていることを確認する
• 公開期間の確認:脆弱なSMA 1000が2026年6月22日以降にインターネットへ公開されていたか確認する
• ログ保全:更新や再構築の前に、SMAのアクセスログ、管理ログ、設定、メモリなど調査に必要な情報を保全する
• 侵害調査:SonicWall、Rapid7、Volexityが公開したIoCと特徴的な挙動を確認する
• 内部調査:SMAの内部IPアドレスから発生したActive Directory認証や横展開を確認する
• 再構築:侵害が確認された物理アプライアンスは再イメージし、仮想アプライアンスは再デプロイする
• 認証情報変更:再構築後にユーザー、管理者、LDAPサービスアカウントなどの認証情報を変更する
• MFA再登録:TOTPシードの漏えいを想定し、利用者のMFA設定とトークンをリセットする
• 周辺環境の確認:ドメインコントローラー、ファイルサーバー、バックアップ、仮想基盤を調査する

今回の続報によって、CVE-2026-15409とCVE-2026-15410は、単にVPNアプライアンス上で任意コマンドを実行できる脆弱性ではなく、ランサムウェア攻撃の初期侵入経路として利用されていることが明確になりました。

脆弱な状態でインターネットへ公開していたSMA 1000は、修正版へ更新済みであっても侵害調査の対象です。「パッチが入っていること」と「攻撃者が環境から排除されていること」は別の確認事項として扱ってください。

一次情報・公式情報

SMA 1000 Series Appliances Affected by Multiple Vulnerabilities(SonicWall PSIRT)
SMA 1000シリーズに複数の脆弱性(SonicWall)
Rapid7 MDR Team Discovers New SonicWall SMA1000 Zero Days being Actively Exploited(Rapid7、2026年7月15日)
Proxying to Compromise: SonicWall Secure Mobile Access 0-day Exploitation(Volexity、2026年7月17日)
From WSProxy to Root: INC Ransomware and SonicWall SMA Exploit Chain(Resecurity、2026年8月1日)
CISA Known Exploited Vulnerabilities Catalog: CVE-2026-15409
CISA Known Exploited Vulnerabilities Catalog: CVE-2026-15410

参考情報

INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws(The Hacker News、2026年8月3日)
INC Ransomware Chains Two SonicWall SMA 1000 Zero-Days in Attacks(SC Media、2026年8月3日)