Sonicwall

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) confirmou que gangues de ransomware começaram a explorar duas vulnerabilidades recentemente corrigidas no SonicWall SMA1000, incluindo uma falha crítica de solicitação de servidor (SSRF). O SMA1000 é um gateway de acesso remoto seguro utilizado por grandes corporações e agências governamentais para fornecer acesso VPN a redes corporativas. As falhas, identificadas como CVE-2026-15409 e CVE-2026-15410, foram corrigidas em julho, mas já estavam sendo exploradas em ataques zero-day antes da divulgação pública. A SonicWall alertou seus clientes para atualizarem seus sistemas imediatamente. A empresa de resposta a incidentes Volexity revelou que um ator de ameaça, identificado como UTA0533, começou a explorar essas vulnerabilidades em 22 de junho, implantando malware personalizado em dispositivos vulneráveis. A CISA incluiu essas falhas em seu Catálogo de Vulnerabilidades Conhecidas (KEV) e ordenou que agências federais aplicassem patches em três dias. A SonicWall também enfrentou outros problemas de segurança, incluindo um ataque que expôs arquivos de configuração de firewall de clientes. A situação destaca a necessidade urgente de atualização e monitoramento contínuo das infraestruturas de segurança.

A operação de ransomware INC se destacou como um dos principais atores de ameaça ao explorar falhas de segurança recentemente divulgadas nos dispositivos VPN SonicWall Secure Mobile Access (SMA) da série 1000. Segundo um relatório da Resecurity, a atividade do grupo aumentou significativamente desde o início de agosto de 2026, com 885 vítimas relatadas até a data mais recente, em 2 de agosto de 2026. As falhas CVE-2026-15409 e CVE-2026-15410 estão sendo exploradas para permitir a execução de comandos arbitrários e a tomada de controle de dispositivos vulneráveis. As correções para essas vulnerabilidades foram disponibilizadas pela SonicWall em julho de 2026. O grupo também utiliza táticas de pressão, como contatos telefônicos e e-mails de supostas organizações de ajuda, para intimidar as vítimas. A Resecurity recomenda que as empresas atualizem imediatamente seus dispositivos SMA 1000 e realizem uma verificação abrangente de ameaças, rotação de credenciais e verificação de integridade para se proteger contra esses ataques. A situação é crítica, especialmente para organizações que utilizam essas tecnologias, pois a exploração dessas vulnerabilidades pode levar a um comprometimento severo da segurança da rede interna.

Recentemente, a SonicWall revelou que duas vulnerabilidades críticas em seus dispositivos SMA1000 foram exploradas em ataques zero-day por várias semanas. As falhas, identificadas como CVE-2026-15409 e CVE-2026-15410, afetam modelos específicos do SMA1000 e permitem que atacantes instalem malware personalizado. A CVE-2026-15409 é uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF), enquanto a CVE-2026-15410 é uma falha de injeção de comando. A SonicWall lançou patches urgentes e recomendou que os clientes atualizassem seus sistemas imediatamente. A empresa de resposta a incidentes Volexity, que ajudou na investigação, identificou um ator de ameaça, denominado UTA0533, que começou a explorar essas vulnerabilidades em 22 de junho de 2026, antes da divulgação pública. Os atacantes conseguiram estabelecer túneis WebSocket não autenticados e executar comandos como root, instalando um malware chamado KNUCKLEBALL, que permite acesso remoto e controle sobre os dispositivos comprometidos. Apesar da sofisticação técnica, a propagação para redes internas dos alvos foi limitada. A situação destaca a importância de monitorar e atualizar sistemas de segurança para evitar compromissos semelhantes.

Um novo ator de ameaças, identificado como UTA0533, tem explorado vulnerabilidades zero-day em dispositivos VPN SonicWall Secure Mobile Access (SMA) 1000 desde 22 de junho de 2026. A empresa de cibersegurança Volexity rastreou essa atividade após uma investigação de resposta a incidentes. As vulnerabilidades CVE-2026-15409 e CVE-2026-15410, com pontuações CVSS de 10.0 e 7.2, respectivamente, permitem a execução de comandos arbitrários e a tomada de controle dos dispositivos vulneráveis. Os pesquisadores observaram que o ator utilizou malware específico para os dispositivos SonicWall, além de técnicas de ataque sofisticadas.

A SonicWall emitiu um alerta sobre a exploração ativa de duas vulnerabilidades zero-day que afetam os dispositivos da série Secure Mobile Access (SMA) 1000. A primeira, identificada como CVE-2026-15409, possui um CVSS de 10.0 e é uma vulnerabilidade de Server-side request forgery (SSRF), permitindo que um atacante remoto não autenticado faça com que o dispositivo realize requisições para locais não intencionais. A segunda, CVE-2026-15410, com um CVSS de 7.2, é uma vulnerabilidade de injeção de código pós-autenticação na Console de Gerenciamento do Aparelho (AMC), que pode ser explorada por um atacante remoto autenticado para executar comandos do sistema operacional como administrador. A SonicWall recomenda que os clientes apliquem as correções disponíveis nas versões 12.4.3-03453 e 12.5.0-02835 ou superiores. Além disso, a empresa sugere uma análise forense detalhada do sistema para identificar indicadores de comprometimento (IoCs). A CISA dos EUA adicionou essas falhas ao seu catálogo de Vulnerabilidades Conhecidas Exploitadas (KEV), exigindo que agências federais apliquem as correções até 17 de julho de 2026.

A SonicWall emitiu um alerta sobre a exploração ativa de duas vulnerabilidades críticas em seus dispositivos SMA1000, identificadas como CVE-2026-15409 e CVE-2026-15410. A primeira é uma falha de solicitação forjada do lado do servidor (SSRF) com uma pontuação CVSS de 10.0, permitindo que atacantes remotos não autenticados forcem o dispositivo a fazer requisições para locais indesejados. A segunda, com uma pontuação CVSS de 7.2, é uma falha de injeção de código pós-autenticação que pode permitir que administradores autenticados executem comandos arbitrários no sistema operacional. Ambas as vulnerabilidades estão sendo ativamente exploradas, e a SonicWall recomenda que os clientes atualizem para as versões de correção disponíveis. As falhas afetam modelos SMA1000, incluindo 6210, 7210 e 8200v, e não impactam a linha de produtos SSL-VPN da empresa. A CISA dos EUA adicionou essas vulnerabilidades ao seu catálogo de Vulnerabilidades Conhecidas Exploitadas (KEV), reforçando a urgência da situação. A SonicWall também forneceu indicadores de comprometimento (IOCs) para ajudar os administradores a identificar possíveis invasões em seus sistemas.

Recentemente, a empresa de cibersegurança ReliaQuest identificou um ataque direcionado a dispositivos SonicWall Gen6 SSL-VPN, onde atores de ameaças conseguiram contornar a autenticação multifator (MFA) e acessar redes internas. O ataque, que levou entre 30 a 60 minutos para ser executado, envolveu a força bruta de credenciais VPN e a exploração da vulnerabilidade CVE-2024-12802. Essa falha permite que um invasor com credenciais válidas autentique-se diretamente, ignorando a MFA. Embora muitos dispositivos estivessem com o firmware atualizado, a falta de reconfiguração manual do servidor LDAP deixou as redes vulneráveis. Em um dos incidentes analisados, o invasor conseguiu acessar um servidor de arquivos em menos de meia hora e tentou implantar ferramentas como o Cobalt Strike, mas foi bloqueado por soluções de detecção de endpoint. A SonicWall já emitiu um aviso de segurança, alertando que a simples atualização do firmware não é suficiente para mitigar a vulnerabilidade, sendo necessária uma reconfiguração adicional. Dada a gravidade da situação e a possibilidade de exploração em diversos setores, é crucial que as empresas que utilizam esses dispositivos tomem medidas imediatas para garantir a segurança de suas redes.

Um recente relatório da SonicWall revela que empresas no Reino Unido continuam a operar com sistemas vulneráveis, muitos dos quais possuem falhas conhecidas há mais de uma década. Em 2025, foram registrados 67 milhões de tentativas de ataque, com uma única vulnerabilidade em câmeras IP da Hikvision representando cerca de 20% de todas as intrusões detectadas. Apesar de 80% dos líderes de TI afirmarem que conseguem identificar uma violação em até oito horas, a média real é de 181 dias, evidenciando a ineficácia na detecção de intrusões. Embora o volume de ransomware tenha caído 87%, o número de organizações comprometidas aumentou em 20%, indicando que os atacantes estão se tornando mais precisos em suas ações. As pequenas e médias empresas são as mais afetadas, com 88% das violações envolvendo ransomware. O uso crescente de ferramentas de inteligência artificial tem facilitado a execução de ataques, com bots realizando 36.000 varreduras por segundo. Para mitigar esses riscos, as organizações devem realizar um inventário de dispositivos conectados, priorizar a correção de vulnerabilidades conhecidas e implementar segmentação de rede.

A Marquis Software Solutions entrou com um processo contra a SonicWall, alegando negligência grave e falsas representações que resultaram em um ataque de ransomware que afetou 74 bancos nos EUA. O ataque, ocorrido em 14 de agosto de 2025, comprometeu a rede da Marquis após a invasão de um firewall da SonicWall, resultando no roubo de informações pessoais sensíveis, como nomes, endereços e números de segurança social. A investigação revelou que os hackers exploraram dados de configuração extraídos da infraestrutura de backup em nuvem da SonicWall, e não uma falha não corrigida, como inicialmente se pensava. A SonicWall introduziu uma vulnerabilidade em seu serviço de backup em nuvem MySonicWall devido a uma alteração de código em fevereiro de 2025, permitindo acesso não autorizado a arquivos de backup de configuração do firewall. Embora a SonicWall tenha inicialmente estimado que apenas 5% de seus clientes foram afetados, foi posteriormente confirmado que todos os clientes estavam em risco. A Marquis agora busca compensação financeira e está enfrentando mais de 36 ações coletivas relacionadas ao ataque. Este caso destaca a importância da segurança cibernética e a responsabilidade dos fornecedores em proteger os dados de seus clientes.

Pesquisadores da Huntress identificaram um novo ataque cibernético que utiliza um driver de kernel legítimo, mas revogado, do EnCase para criar uma ferramenta maliciosa conhecida como EDR killer. Essa ferramenta é projetada para desativar soluções de detecção e resposta em endpoints (EDR) e outros softwares de segurança, utilizando a técnica ‘Bring Your Own Vulnerable Driver’ (BYOVD). O ataque começou com a violação de uma rede através de credenciais comprometidas do SonicWall SSL VPN, explorando a falta de autenticação multifatorial (MFA). Após a invasão, os atacantes realizaram uma varredura interna agressiva e implantaram um executável de 64 bits que abusava do driver ‘EnPortv.sys’, que possui um certificado expirado e revogado, mas ainda é aceito pelo Windows devido a falhas na verificação de certificados. A ferramenta maliciosa consegue desativar 59 processos relacionados a EDR e antivírus, estabelecendo uma persistência resistente a reinicializações. Apesar de a atividade estar relacionada a um possível ataque de ransomware, a ação foi interrompida antes da entrega do payload final. Recomendações de defesa incluem a habilitação de MFA em serviços de acesso remoto e monitoramento de logs do VPN para atividades suspeitas.

A Marquis Software Solutions, provedora de serviços financeiros do Texas, atribuiu um ataque de ransomware que afetou seus sistemas e impactou dezenas de bancos e cooperativas de crédito nos EUA em agosto de 2025 a uma violação de segurança relatada pela SonicWall um mês depois. A empresa, que fornece ferramentas de análise de dados e marketing digital para mais de 700 instituições financeiras, esclareceu que os atacantes não exploraram uma falha em seu firewall, como se acreditava inicialmente. Em vez disso, eles usaram informações obtidas de arquivos de backup de configuração do firewall, que foram roubados após o acesso não autorizado ao portal online MySonicWall da SonicWall. A Marquis está avaliando suas opções em relação ao provedor de firewall, incluindo a possibilidade de buscar reembolso por despesas relacionadas ao incidente. A SonicWall, que revelou a violação em 17 de setembro, inicialmente informou que apenas 5% de seus clientes de firewall foram afetados, mas posteriormente confirmou que todos os clientes usando seu serviço de backup em nuvem estavam em risco. Investigações indicam que o ataque pode estar ligado a hackers patrocinados pelo estado.

Um grupo de atores de ameaças que fala chinês é suspeito de ter utilizado um dispositivo VPN SonicWall comprometido como vetor de acesso inicial para implantar um exploit do VMware ESXi. Essa atividade foi observada pela empresa de cibersegurança Huntress em dezembro de 2025, que conseguiu interrompê-la antes que avançasse para um ataque de ransomware. O ataque explorou três vulnerabilidades do VMware, divulgadas como zero-days pela Broadcom em março de 2025, com pontuações CVSS variando de 7.1 a 9.3. A exploração permitiu que um ator malicioso com privilégios de administrador vazasse memória do processo VMX ou executasse código como o processo VMX. O toolkit utilizado no ataque inclui componentes sofisticados, como um driver de kernel não assinado e um backdoor que oferece acesso remoto persistente ao host ESXi. A comunicação entre o cliente e o backdoor é feita através do protocolo VSOCK, que permite interações diretas entre máquinas virtuais e o hipervisor, dificultando a detecção. A análise sugere que o desenvolvimento do exploit pode ter ocorrido mais de um ano antes da divulgação pública, indicando um desenvolvedor bem financiado operando em uma região de língua chinesa.

A SonicWall anunciou a correção de uma vulnerabilidade crítica em seus dispositivos Secure Mobile Access (SMA) da série 100, identificada como CVE-2025-40602, com uma pontuação CVSS de 6.6. Essa falha permite a escalada de privilégios locais devido a uma autorização insuficiente no console de gerenciamento do aparelho. As versões afetadas incluem 12.4.3-03093 e anteriores, além de 12.5.0-02002 e anteriores, com correções disponíveis nas versões 12.4.3-03245 e 12.5.0-02283, respectivamente. A SonicWall alertou que essa vulnerabilidade está sendo explorada ativamente, especialmente em combinação com outra falha crítica, CVE-2025-23006, que permite a execução remota de código não autenticado com privilégios de root. Essa última falha foi corrigida em janeiro de 2025. A descoberta das vulnerabilidades foi creditada a pesquisadores do Google Threat Intelligence Group. Dada a gravidade da situação, é crucial que os usuários dos dispositivos SMA 100 apliquem as correções imediatamente para evitar possíveis comprometimentos.

Entre janeiro e novembro de 2025, o grupo de ransomware Akira reivindicou 683 ataques, tornando-se a segunda variante mais ativa do ano, atrás do Qilin, que teve 864 ataques no mesmo período. Este número já supera mais do que o dobro dos 272 ataques registrados em 2024. A atividade do Akira apresentou dois picos notáveis, com um aumento significativo no primeiro trimestre de 2025, seguido por uma queda entre abril e julho, e um novo aumento nos últimos meses, impulsionado pela exploração de vulnerabilidades do SonicWall SSL VPN (CVE-2024-40766). O FBI e outras agências dos EUA emitiram um alerta sobre a atividade do Akira, destacando a ameaça iminente à infraestrutura crítica. Até setembro de 2025, o grupo alegou ter arrecadado aproximadamente 244,17 milhões de dólares em resgates. Os alvos principais incluem pequenas e médias empresas, com um foco crescente em fabricantes, enquanto os ataques ao setor educacional diminuíram drasticamente. Os Estados Unidos foram o país mais afetado, com 455 ataques, seguidos por Alemanha e Canadá. O Akira também é conhecido por suas altas demandas de resgate, com casos documentados de valores que chegam a 1,4 milhão de dólares.

O ransomware Akira está ampliando seu alcance ao atacar arquivos de disco de máquinas virtuais (VMs) da Nutanix AHV, conforme relatado por agências de segurança dos EUA, incluindo a CISA. Desde junho de 2025, o grupo tem explorado uma vulnerabilidade crítica no SonicWall SonicOS, identificada como CVE-2024-40766, que permite acesso não autorizado a recursos, resultando em falhas nos firewalls. Além disso, o Akira utiliza vulnerabilidades em servidores Veeam Backup & Replication para movimentação lateral e exclusão de backups. Até setembro de 2025, o grupo já havia extorquido mais de US$ 240 milhões em ataques de ransomware. A CISA recomenda que os usuários mantenham seus softwares atualizados e implementem autenticação multifatorial (MFA) para se protegerem contra essas ameaças. O ataque ao Nutanix AHV não é surpreendente, dado que o Akira já havia atacado outras soluções de virtualização, como VMware ESXi e Hyper-V. A situação destaca a necessidade urgente de medidas de segurança robustas em ambientes virtuais.

A SonicWall confirmou que um grupo de ameaças patrocinadas por um Estado foi responsável pela violação de segurança ocorrida em setembro, que resultou na exposição não autorizada de arquivos de backup de configuração de firewall. A empresa esclareceu que a atividade maliciosa foi restrita ao acesso não autorizado a arquivos de backup na nuvem, utilizando uma chamada de API, e que o incidente não está relacionado aos ataques de ransomware Akira que afetam firewalls e outros dispositivos de borda. A SonicWall contratou a Mandiant, empresa pertencente ao Google, para investigar a violação, que afetou menos de 5% de seus clientes que utilizam o serviço de backup na nuvem. A empresa assegurou que seus produtos, firmware e outros sistemas não foram comprometidos e que várias ações corretivas recomendadas pela Mandiant foram implementadas para fortalecer sua infraestrutura de segurança. Os clientes da SonicWall são aconselhados a acessar o MySonicWall.com para verificar seus dispositivos e redefinir as credenciais dos serviços afetados, se necessário. Além disso, a empresa disponibilizou ferramentas online para análise e redefinição de credenciais, visando aumentar a segurança dos serviços.

A empresa de cibersegurança Huntress alertou sobre um comprometimento generalizado de dispositivos SonicWall SSL VPN, que permitiu o acesso a múltiplos ambientes de clientes. Os atacantes estão autenticando rapidamente em várias contas, sugerindo que possuem credenciais válidas, em vez de utilizar força bruta. Desde 4 de outubro de 2025, mais de 100 contas SonicWall em 16 clientes foram afetadas, com autenticações originadas do IP 202.155.8[.]73. Embora alguns atacantes tenham se desconectado rapidamente, outros realizaram atividades de varredura de rede e tentativas de acesso a contas locais do Windows. Este incidente segue a revelação de que arquivos de configuração de firewall armazenados em contas MySonicWall foram expostos de forma não autorizada, afetando todos os clientes que utilizam o serviço de backup em nuvem da SonicWall. A Huntress recomenda que as organizações redefinam suas credenciais e implementem autenticação multifator (MFA) para proteger suas contas administrativas e remotas. O aumento das atividades de ransomware, como a campanha Akira, que explora falhas conhecidas, destaca a importância de manter práticas de atualização de segurança rigorosas.

Desde julho de 2025, operadores do ransomware Akira têm explorado dispositivos SonicWall SSL VPN, utilizando uma vulnerabilidade conhecida (CVE-2024-40766) que afeta versões do SonicOS. Essa falha, que foi divulgada e corrigida em agosto de 2024, permite acesso inadequado e tem sido utilizada para comprometer redes empresariais em diversos setores. A campanha inclui técnicas avançadas de coleta de credenciais e exfiltração de dados, com um ataque documentado em agosto de 2025 que resultou na transferência de aproximadamente 2 GB de dados sensíveis. Os atacantes utilizaram métodos sofisticados, como a técnica ‘UnPAC the hash’, para escalar privilégios dentro da rede. A Darktrace, empresa de segurança, conseguiu conter o ataque, mas a exploração contínua da vulnerabilidade destaca a importância de práticas de gerenciamento de patches atualizadas, especialmente para dispositivos que oferecem acesso remoto. O incidente ressalta a necessidade de vigilância constante e resposta rápida a ameaças cibernéticas, especialmente em um cenário onde a segurança de dados é crítica.

A SonicWall anunciou que um grupo não autorizado teve acesso a arquivos de backup de configuração de firewall de todos os clientes que utilizam seu serviço de backup em nuvem. Embora as credenciais contidas nesses arquivos estejam criptografadas, a empresa alertou que a posse desses arquivos pode aumentar o risco de ataques direcionados. A SonicWall está notificando todos os parceiros e clientes e disponibilizou ferramentas para avaliação e remediação dos dispositivos afetados. Os clientes são aconselhados a acessar suas contas no MySonicWall.com para verificar se seus firewalls estão impactados. A empresa classificou os dispositivos afetados em três categorias, com prioridade alta para aqueles com serviços expostos à internet. Este incidente segue um alerta anterior da SonicWall sobre a necessidade de redefinição de credenciais após a exposição de arquivos de configuração em uma violação de segurança que afetou contas do MySonicWall. A SonicWall ainda não revelou quantos clientes utilizam o serviço de backup em nuvem, nem a identidade dos atacantes, mas afirmou que reforçou sua infraestrutura e implementou controles de autenticação mais rigorosos para evitar recorrências.

O ransomware Akira está explorando a vulnerabilidade CVE-2024-40766 para acessar dispositivos VPN SSL da SonicWall, mesmo em contas que utilizam autenticação multifator (MFA). Pesquisadores de segurança, como os da Arctic Wolf Labs, relataram um aumento nos logins maliciosos em instâncias da SonicWall SSL VPN, sugerindo que os atacantes conseguiram comprometer as sementes de senhas de uso único (OTP), permitindo que contornassem as proteções de MFA. Apesar de a SonicWall ter lançado patches e recomendado a redefinição de credenciais, os ataques continuam a ocorrer. O Google identificou um grupo de ameaças, denominado UNC6148, que está utilizando credenciais e sementes de OTP roubadas em campanhas de ataque direcionadas a dispositivos SonicWall SMA 100, que estão fora de suporte. Isso levanta preocupações significativas sobre a eficácia das medidas de segurança implementadas, uma vez que os atacantes estão conseguindo autenticar-se em contas protegidas por MFA. A situação destaca a necessidade de vigilância contínua e de ações proativas para proteger as infraestruturas de TI contra essas ameaças emergentes.

A SonicWall anunciou uma atualização de segurança urgente para seus dispositivos Secure Mobile Access (SMA) da série 100, visando eliminar um rootkit persistente conhecido como ‘OVERSTEP’. A atualização, identificada como versão 10.2.2.2-92sv, introduz verificações de integridade de arquivos aprimoradas, capazes de detectar e remover componentes maliciosos implantados por essa ameaça. Organizações que utilizam os modelos SMA 210, 410 e 500v são fortemente aconselhadas a aplicar o patch imediatamente para mitigar riscos de exploração. O rootkit OVERSTEP foi identificado pela Google Threat Intelligence Group (GTIG) como uma ameaça sofisticada, capaz de estabelecer acesso encoberto e persistente a redes corporativas, permitindo que atacantes se movam lateralmente, exfiltrando dados e implantando cargas adicionais. A SonicWall enfatiza que a única forma de eliminar a ameaça é atualizar para a versão corrigida, pois não há soluções alternativas viáveis. O não cumprimento dessa recomendação pode expor as redes a acessos não autorizados e vigilância persistente. O patch não afeta as appliances da série SMA1000 e as funcionalidades SSL-VPN em produtos de firewall da SonicWall.

A SonicWall alertou seus clientes sobre a necessidade urgente de redefinir senhas administrativas e de usuários em seus ambientes de firewall, após um vazamento de arquivos de backup do serviço MySonicWall. Entre 10 e 15 de setembro, um ator desconhecido explorou uma vulnerabilidade zero-day no sistema de upload de arquivos do portal, obtendo acesso a arquivos de configuração XML que continham credenciais criptografadas, chaves pré-compartilhadas de VPN e segredos de acesso à gestão. Embora os arquivos estivessem criptografados, a SonicWall confirmou que parâmetros de criptografia fracos permitiriam que adversários habilidosos quebrassem a proteção em poucas horas. A empresa recomenda que os clientes desativem interfaces de gerenciamento expostas à WAN e redefinam todas as contas de usuários locais, além de regenerar chaves de VPN e atualizar credenciais em servidores de autenticação. A SonicWall também enfatiza a importância de monitorar logs de auditoria para detectar atividades anômalas e promete lançar atualizações de firmware para corrigir a falha no portal MySonicWall.

A SonicWall alertou seus clientes sobre a exposição de arquivos de backup de configuração de firewall em uma violação de segurança que afetou contas do MySonicWall. A empresa detectou atividades suspeitas direcionadas ao serviço de backup em nuvem, resultando no acesso não autorizado a arquivos de preferência de firewall de menos de 5% de seus clientes. Embora as credenciais dentro dos arquivos estivessem criptografadas, informações contidas neles poderiam facilitar a exploração dos firewalls. A SonicWall não registrou vazamentos online desses arquivos e afirmou que o incidente não foi um ataque de ransomware, mas uma série de ataques de força bruta. Os clientes afetados foram orientados a verificar se os backups em nuvem estão habilitados, revisar logs e implementar procedimentos de contenção, como limitar o acesso a serviços e redefinir senhas. Além disso, a SonicWall disponibilizou novos arquivos de preferência que incluem senhas aleatórias para usuários locais e chaves VPN IPSec randomizadas. O alerta surge em um contexto em que grupos de ransomware, como o Akira, continuam a explorar dispositivos SonicWall não corrigidos, aproveitando uma vulnerabilidade crítica conhecida (CVE-2024-40766).

Pesquisadores de segurança alertam que o ransomware Akira está explorando uma vulnerabilidade antiga no SSLVPN da SonicWall, afetando firewalls das gerações Gen5, Gen6 e Gen7 que ainda não foram atualizados. Essa falha de controle de acesso inadequado foi descoberta e corrigida há mais de um ano, mas muitas organizações ainda não aplicaram o patch necessário. Além de atacar firewalls desatualizados, o Akira também se aproveita de configurações padrão do grupo LDAP e do acesso público ao Virtual Office Portal da SonicWall. Isso permite que usuários sem as permissões adequadas acessem o SSLVPN. Os especialistas da Rapid7 recomendam que as empresas troquem senhas de todas as contas SonicWall, configurem corretamente as políticas de autenticação multifator (MFA) e restrinjam o acesso ao Virtual Office Portal apenas a redes internas confiáveis. O Akira tem se mostrado ativo nos últimos dois anos, com um foco agressivo em dispositivos de borda, o que representa um risco significativo para as organizações que não tomarem medidas imediatas.

O grupo de ransomware Akira tem intensificado seus ataques a dispositivos SonicWall, especialmente aqueles que utilizam a SSL VPN. A empresa de cibersegurança Rapid7 relatou um aumento nas intrusões envolvendo esses aparelhos, que se intensificaram após a reativação das atividades do grupo em julho de 2025. A SonicWall identificou que os ataques exploram uma vulnerabilidade de um ano (CVE-2024-40766, com pontuação CVSS de 9.3), onde senhas de usuários locais não foram redefinidas durante uma migração. A empresa recomenda que os clientes ativem o filtro de botnets e as políticas de bloqueio de contas para mitigar os riscos. Além disso, a SonicWall alertou sobre a configuração inadequada dos grupos de usuários padrão do LDAP, que pode permitir que contas comprometidas herdem permissões indevidas. O grupo Akira, que já afetou 967 vítimas desde sua criação em março de 2023, utiliza técnicas sofisticadas, como phishing e SEO, para disseminar malware e realizar operações de ransomware. As organizações são aconselhadas a rotacionar senhas, remover contas inativas e restringir o acesso ao portal Virtual Office. O Australian Cyber Security Centre também confirmou que o grupo está atacando organizações australianas vulneráveis através de dispositivos SonicWall.