Zero-Day SonicWall SMA1000 Dipakai untuk Menyebarkan Malware Khusus
Dua kerentanan SonicWall SMA1000 yang baru diungkap ternyata telah dieksploitasi sebagai zero-day selama beberapa minggu. Celah tersebut memungkinkan threat actor memasang malware khusus pada appliance VPN yang rentan.
SonicWall sebelumnya memperingatkan pelanggan bahwa dua kerentanan yang belum pernah dipublikasikan telah dieksploitasi secara aktif dalam sebuah exploit chain yang menargetkan perangkat SMA1000 Secure Mobile Access.
Dua celah tersebut dilacak sebagai CVE-2026-15409 dan CVE-2026-15410. CVE-2026-15409 merupakan kerentanan server-side request forgery (SSRF) dengan tingkat kritis, sedangkan CVE-2026-15410 adalah command injection flaw dengan tingkat keparahan tinggi.
Kerentanan ini berdampak pada appliance SonicWall SMA1000 6210, 7210, dan 8200v. SonicWall telah merilis patch melalui versi 12.4.3-03453 dan 12.5.0-02835, serta mendesak pelanggan untuk segera memasang pembaruan.
Meski SonicWall mengonfirmasi eksploitasi zero-day, detail teknis serangan baru dijabarkan lebih lanjut oleh Volexity, firma incident response yang membantu investigasi. Volexity melacak pelaku dalam kampanye ini sebagai UTA0533.
Menurut Volexity, tanda kompromi paling awal terlihat pada 22 Juni 2026, beberapa minggu sebelum kerentanan tersebut diumumkan secara publik. Analisis log, disk image, dan memori menunjukkan bahwa pelaku memakai beberapa zero-day exploit serta malware yang dirancang khusus untuk appliance SonicWall SMA VPN.
Pada dua perangkat yang diselidiki, penyerang pertama kali mengeksploitasi CVE-2026-15409 untuk menyalahgunakan endpoint /wsproxy pada SMA1000. Teknik ini memungkinkan mereka membuat WebSocket tunnel tanpa autentikasi ke layanan yang seharusnya hanya dapat diakses dari appliance itu sendiri.
Akses tersebut membuka aplikasi internal, termasuk CouchDB dan layanan manajemen perangkat VPN. Dari sana, pelaku memperoleh nilai product_uuid appliance yang diperlukan untuk melanjutkan tahap serangan berikutnya.
Setelah memperoleh product_uuid, pelaku mengeksploitasi CVE-2026-15410 melalui metode RPC sysCtrl.execRemoveHotfix di Appliance Management Console. Celah command injection ini memungkinkan eksekusi perintah sebagai root dan memberi kendali penuh atas perangkat.
Dengan akses root, UTA0533 memasang dropper malware khusus yang disebut KNUCKLEBALL dengan nama file deploy_new.py. Dropper ini digunakan untuk memasang dua keluarga malware berbasis Java, yaitu Sou5 dan ORANGETAIL, yang dibuat untuk appliance SonicWall SMA1000.
Sou5 berfungsi sebagai reverse proxy sehingga penyerang dapat melakukan tunneling traffic melalui appliance yang telah dikompromikan dan mempertahankan akses terselubung ke resource internal.
ORANGETAIL adalah webshell Java khusus yang memungkinkan pelaku mengirim payload Java terenkripsi ke appliance korban dan menjalankannya secara dinamis dalam sesi HTTP.
Peneliti juga menemukan bahwa pelaku memodifikasi konfigurasi nginx pada appliance untuk mengekspos webshell ORANGETAIL secara remote. Selain itu, mereka memasang ROOTRUN, alat privilege escalation yang memungkinkan perintah dijalankan sebagai root.
Volexity menilai kampanye dan malware yang digunakan menunjukkan tingkat kecanggihan teknis yang signifikan. Namun, pelaku disebut tidak terlalu berhasil dalam memperluas akses ke jaringan internal korban.
Bagi organisasi yang memakai SonicWall SMA1000, prioritas utama adalah memasang patch yang tersedia, memeriksa indikator kompromi, dan meninjau aktivitas mencurigakan pada appliance VPN. Perangkat edge seperti VPN tetap menjadi target bernilai tinggi karena dapat menjadi pintu masuk langsung ke lingkungan internal.
Insiden ini kembali menegaskan bahwa appliance keamanan perimeter tidak boleh diperlakukan sebagai perangkat statis. Logging, pemantauan konfigurasi, validasi integritas file, serta pembaruan cepat menjadi bagian penting dari strategi pertahanan.
Sumber: Volexity
