Aktuell rückt eine bestimmte Ransomware-Gruppe besonders in den Fokus: INC Ransomware soll sich seit Anfang August 2026 als dominanter Akteur etabliert haben. Der Grund: Die Gruppe nutzt Sicherheitslücken in SonicWall Secure Mobile Access (SMA) 1000-VPN-Appliances, nachdem die Schwachstellen zuvor bekannt geworden waren.
Mehrere Meldungen deuten darauf hin, dass die Angriffe nicht nur kurzfristig „durchrutschen“, sondern gezielt eine nachhaltige Handlungsfähigkeit schaffen sollen. Dazu zählen das Auslesen wertvoller Zugangsdaten, das Abgreifen von Sitzungsinformationen und das gezielte Vorgehen gegen Multi-Faktor-Absicherung.
Warum INC Ransomware derzeit so stark auffällt
In einem Bericht wird INC Ransomware als „dominant threat actor“ beschrieben. Forscher beobachten, dass die Aktivitäten seit Beginn August deutlich zugenommen haben. Auf zugehörigen Leak-Seiten werden mehrere Opferorganisationen gelistet, zuletzt auch mit Angaben bis zum 2. August 2026.
Auch quantitative Auswertungen lassen den Schluss zu, dass die Gruppe bereits eine hohe Zahl an betroffenen Unternehmen verzeichnet. Insgesamt wird von deutlich mehr als nur vereinzelten Vorfällen ausgegangen.
Betroffene SonicWall-Schwachstellen und mögliche Angriffskette
Die Angriffe werden im Zusammenhang mit zwei Schwachstellen eingeordnet: CVE-2026-15409 und CVE-2026-15410. Diese Lücken sollen sich – nach Einschätzung der Sicherheitsbranche – so kombinieren lassen, dass ein Angreifer beliebige Befehle ausführen kann und anschließend die betroffenen Systeme übernehmen kann.
SonicWall hat laut den vorliegenden Informationen die relevanten Fixes bereits Mitte Juli 2026 veröffentlicht. Trotzdem zeigt der Verlauf der Kampagne, dass viele Umgebungen offenbar noch nicht rechtzeitig aktualisiert waren oder Schutzmaßnahmen nicht konsequent durchgezogen wurden.
Zero-Day-Nutzung: Zugang sichern statt nur stören
Die beiden Schwachstellen gelten in der Bewertung als waffenfähig gemacht, also als Zero-Days genutzt, bevor es breite Abwehrmöglichkeiten gab. Dabei soll der Einstieg genutzt worden sein, um besonders wertvolle Informationen zu erbeuten.
Im Kern geht es laut den Berichten um:
- hochwertige Zugangsdaten (Credentials)
- Sitzungsdaten aus aktiven Datenbanken
- TOTP-MFA-Seed-Konfigurationen, also Bausteine für zeitbasierte Einmalpasswörter
Das Ziel dahinter: langfristig bestehen zu bleiben und später weitere Bereiche im Netzwerk anzugreifen. Damit rückt weniger das „Einmal-Hacken“ in den Vordergrund, sondern eher eine planvolle Vorbereitung von Folgeangriffen, einschließlich lateraler Bewegung innerhalb der Organisation.
Was ein Angriff technisch beinhalten kann
In weiteren Analysen wird eine frühe Ausnutzung datiert: Der Start soll bereits am 22. Juni 2026 vor der offiziellen Bekanntgabe erfolgt sein. Ein Sicherheitsteam ordnet diesen frühen Einstieg einem Bedrohungskomplex zu, den es unter UTA0533 führt.
Ein entscheidender Hinweis aus dieser Auswertung: Es soll eine Python-Datei namens „KNUCKLEBALL“ eingesetzt werden. Diese wiederum soll das Starten eines Tools ermöglichen, das als Suo5 beschrieben wird – ein HTTP-Proxy mit Open-Source-Bezug.
Zusätzlich wird von einem Java-Webshell berichtet, die in der Analyse als „ORANGETAIL“ bezeichnet wird. Eine solche Komponente wird häufig genutzt, um einen dauerhaften technischen Zugriff zu behalten und den weiteren Ablauf zu steuern.
Warum diese Details wichtig sind
Auch wenn die konkreten Skriptnamen für sich allein kein „Plan zum Nachbauen“ sind: Die Muster zeigen, dass die Kampagne auf mehr als reine Ausnutzung setzt. Der Einsatz von Proxy- und Shell-Komponenten spricht für den Versuch, Kontrollfähigkeit im kompromittierten Umfeld zu verlängern und Angriffe flexibler zu machen.
Beobachtete Überschneidungen mit anderen Untersuchungen
Ein weiterer Aspekt betrifft die Zuordnung zur Täterlogik. Sicherheitsforscher berichten, dass es taktische Überlappungen zwischen den aktuellen Beobachtungen und früheren Untersuchungen eines anderen Teams gibt.
Das wird als Indiz dafür gewertet, dass entweder ein einzelner Akteur oder zumindest koordiniert vorgehende Gruppen an der Entdeckung und Ausnutzung dieser Schwachstellen beteiligt sein könnten. In dem Kontext wird INC Ransomware erneut als führend hervorgehoben, weil die Gruppe die Schwachstellenkette aktiv zu Angriffszwecken „waffenwirksam“ einsetzt.
Opferregionen und Kontaktversuche nach der Kompromittierung
Resecurity nennt als neue Opfer, die zwischen dem 17. Juli und dem 1. August 2026 auf der Leak-Plattform gelistet wurden, unter anderem Organisationen aus dem privaten Sektor und aus dem öffentlichen Bereich. Genannt werden u. a. Länder wie Australien, die USA, die VAE, Kolumbien, Schweiz und weitere.
Besonders aufmerksam macht eine zusätzliche Angriffs- und Druckkomponente: Laut der Meldung erhielten viele neue Opfer E-Mails sowie Telefonanrufe von unbekannten Stellen, die behaupteten, bei „Ransomware-Problemen“ helfen zu können.
In einzelnen Fällen soll dabei auch ein Anrufer mit Namen „Andrew“ aufgetreten sein, verbunden mit einer angegebenen Telefonnummer. In der Darstellung wird erwähnt, dass der Anrufer behauptete, das Netzwerk sei kompromittiert, und am Ende eine E-Mail-Adresse für weitere Verhandlungen genannt habe.
Solche Methoden werden in dem Kontext als häufig genutzte Drucktaktiken von Ransomware-Gruppen beschrieben: Sie sollen Organisationen psychologisch unter Druck setzen und den weiteren Kontakt in kontrollierte Bahnen lenken.
Was Kunden jetzt tun sollten: Patchen, prüfen, jagen
Für Betreiber von SonicWall SMA 1000 gilt die zentrale Handlungsanweisung: Appliances sollten umgehend auf die neueste Version aktualisiert werden, falls noch nicht geschehen. Da die Fixes bereits Mitte Juli 2026 veröffentlicht wurden, ist schnelles Nachziehen entscheidend.
Doch Patchen allein ist oft nicht genug. Resecurity empfiehlt deshalb zusätzlich umfassende Maßnahmen zur Absicherung und zum Nachweis, dass keine schädlichen Spuren bestehen.
Empfohlene Sofortschritte
- Threat Hunting durchführen, um mögliche aktive oder vergangene Angriffe zu finden.
- Credentials rotieren, insbesondere wenn ein Zugriff auf Zugangsdaten oder Sitzungsinformationen möglich war.
- Integrität prüfen, um Manipulationen an relevanten Komponenten oder Konfigurationen auszuschließen.
- Ungewöhnliche Zugriffe mit internen Aktivitäten korrelieren.
Konkreter wird außerdem vorgeschlagen, externe Quelladressen zu identifizieren, die mit /wsproxy interagiert oder dabei ungewöhnliche Parameter verwendet haben. Entscheidend ist anschließend die Verknüpfung mit internen Indikatoren wie Authentifizierungsereignissen und Aktivitäten, die auf laterale Bewegung hindeuten könnten.
Fazit: INC Ransomware zeigt, wie schnell VPN-Zugänge zum Hebel werden
Die Berichte zeichnen ein klares Bild: INC Ransomware nutzt Schwachstellen in SonicWall SMA 1000, um nicht nur kurzfristig Zugriff zu gewinnen, sondern langfristige Persistenz vorzubereiten. Besonders kritisch sind dabei die Hinweise auf das Auslesen von Credentials, Sitzungsdaten und TOTP-MFA-Seed-Konfigurationen.
Wer SonicWall SMA 1000 betreibt, sollte jetzt handeln: zeitnah patchen, danach gezielt nach Spuren suchen und sicherstellen, dass Zugangsdaten sowie relevante Konfigurationen wieder zuverlässig und überprüfbar sind. So lassen sich die Auswirkungen einer möglichen Kompromittierung deutlich reduzieren.
Quelle: https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
