Jetzt ist klar, wer hinter der SonicWall-Angriffswelle steckt: Die INC-Ransomware-Bande hat sich laut übereinstimmenden Berichten von Sicherheitsforschern zum dominierenden Täter aufgeschwungen — und sie legt gerade erst richtig los. Seit Anfang August tauchen im Tagesrhythmus neue Opfer auf der Leak-Seite der Gruppe auf. Die technische Vorgeschichte kennst du vielleicht schon aus unserem Juli-Bericht zum SonicWall-Zero-Day — jetzt folgt das hässliche zweite Kapitel.
VOM TUNNEL ZUM ROOT: So funktioniert die Angriffskette
Die Angreifer verketten zwei Lücken in den SMA-1000-Fernzugriffs-Appliances: CVE-2026-15409 (CVSS 10.0) erlaubt es ohne jede Anmeldung, über einen WebSocket-Tunnel (WSProxy) auf eigentlich abgeschottete interne Dienste zuzugreifen. Von dort hebelt CVE-2026-15410 (CVSS 7.2) die Rechte bis auf Root-Niveau. Ergebnis: volle Kontrolle über genau die Box, die dein Firmennetz eigentlich schützen soll.
Besonders bitter: Ausgenutzt wurden die Lücken schon seit mindestens 22. Juni als Zero-Days — also wochenlang, bevor SonicWall am 14. Juli den Patch lieferte und die US-Behörde CISA die Lücken noch am selben Tag in ihren KEV-Katalog aufnahm.
DIE BEUTE: PASSWÖRTER, SESSIONS — UND DEINE MFA-SEEDS
Forensiker von Rapid7 haben rekonstruiert, was die Angreifer auf gekaperten Geräten abgeräumt haben: Zugangsdaten, aktive Session-Datenbanken und die TOTP-Seeds der Multi-Faktor-Authentifizierung. Das ist der eigentliche Skandal in dieser Geschichte — denn wer die TOTP-Seeds besitzt, kann die Einmal-Codes deiner Authenticator-App selbst generieren. Deine Zwei-Faktor-Anmeldung ist damit wertlos, selbst NACH dem Patch.
Genau darauf zielt die Bande ab: dauerhafter, unauffälliger Zugang, um sich später in Ruhe durchs interne Netz zu bewegen — bis zur Verschlüsselung. Das Muster kennen wir schon von der FortiBleed-Welle, bei der dieselbe INC-Gruppe geleakte VPN-Zugänge verwertet hat.
OPFER RUND UM DEN GLOBUS — TEMPO ZIEHT AN
Laut Resecurity wurden allein zwischen 17. Juli und 1. August neue Opfer aus Australien, den USA, den Emiraten, Kolumbien und der Schweiz auf der Leak-Seite gelistet — Privatwirtschaft ebenso wie Behörden. Und seit Anfang August beschleunigt sich die Schlagzahl noch einmal deutlich. Wer eine ungepatchte SMA-1000 am Netz hat, spielt gerade russisches Roulette mit vollem Magazin.
SO RETTEST DU DEIN NETZ — IN 5 SCHRITTEN
1. Sofort patchen: Die seit 14. Juli verfügbare, korrigierte Firmware für SMA 1000 einspielen.
2. Vom Schlimmsten ausgehen: War das Gerät vor dem Patch erreichbar, behandle es als kompromittiert — nicht als „wahrscheinlich sauber“.
3. ALLES rotieren: Passwörter UND MFA neu aufsetzen — TOTP-Seeds neu ausrollen, alte Enrollments widerrufen, aktive Sessions killen.
4. Spuren suchen: Logs auf ungewöhnliche WebSocket-Verbindungen, unbekannte Admin-Konten und Konfig-Änderungen prüfen.
5. Angriffsfläche verkleinern: Management-Interfaces niemals offen ins Internet stellen, Zugriff auf vertrauenswürdige Netze beschränken.
FAZIT: Diese Welle zeigt das neue Normal: Edge-Geräte wie VPN-Gateways sind DAS Lieblingsziel der Ransomware-Banden — und ein Patch allein beendet den Spuk nicht, wenn die Schlüssel längst kopiert sind.
Häufige Fragen
Welche Geräte und Versionen sind betroffen?
Reicht es, einfach den Patch einzuspielen?
Woran erkenne ich eine Kompromittierung?
Was ist die INC-Ransomware-Gruppe?
Quellen: The Hacker News, SecurityWeek, Resecurity („From WSProxy to Root“), Tenable, Dark Reading