INC Ransomware enchaîne deux zero-days SonicWall SMA 1000

La chaîne qui transforme un VPN d'entreprise en porte d'entrée ransomware

Depuis le début du mois d'août 2026, INC Ransomware a considérablement accéléré le rythme de ses revendications sur son site de fuite de données (Data Leak Site), s'appuyant sur une chaîne d'exploitation sophistiquée ciblant les appliances SonicWall Secure Mobile Access (SMA) 1000 Series — des dispositifs VPN déployés dans des milliers d'entreprises pour sécuriser les accès distants. L'analyse publiée par Resecurity, corroborée par les observations de SC Media, SecurityWeek et Dark Reading, désigne INC Ransomware comme l'acteur le plus actif dans l'exploitation de deux vulnérabilités zero-day, CVE-2026-15409 et CVE-2026-15410, qui permettent de transformer un appliance VPN en point d'entrée pour un accès root non authentifié. Cette campagne illustre avec une acuité particulière la tendance de fond qui fait des appliances d'accès distant la cible de prédilection des opérateurs de ransomware dans le paysage actuel des menaces.

CVE-2026-15409 constitue la première faille de la chaîne. Elle affecte les appliances SonicWall SMA 1000 Series et permet à un attaquant entièrement non authentifié d'ouvrir un tunnel WebSocket vers des services internes de l'appliance qui devraient normalement être inaccessibles depuis l'extérieur du périmètre réseau. En exploitant ce canal, l'attaquant établit une communication avec des composants backend restreints de l'appareil, créant une tête de pont initiale sur le dispositif sans avoir à fournir le moindre credential valide. CVE-2026-15410 est la seconde faille de la chaîne : elle permet d'escalader les privilèges depuis l'accès initial obtenu via CVE-2026-15409 jusqu'au niveau root de l'appliance SMA. Enchaînées dans cet ordre, les deux vulnérabilités confèrent à un attaquant distant un contrôle total sur le dispositif VPN — et par extension, sur l'ensemble du trafic réseau qu'il gère, des credentials qu'il stocke et des configurations MFA qu'il héberge.

Selon l'analyse de Resecurity, les deux failles étaient exploitées activement dans la nature en tant que zero-days depuis au moins le 22 juin 2026, soit plus de trois semaines avant que SonicWall ne publie ses correctifs le 14 juillet. Pendant cette fenêtre d'exposition non patchée, les attaquants ont pu identifier les appliances SMA 1000 vulnérables exposées sur internet — via des outils de cartographie comme Shodan ou Censys —, les compromettre silencieusement et établir des accès persistants bien avant que les équipes de sécurité ne soient informées de l'existence même de ces vulnérabilités. La CISA a ajouté CVE-2026-15409 et CVE-2026-15410 à son catalogue KEV (Known Exploited Vulnerabilities) le jour même de la publication des correctifs SonicWall, le 14 juillet 2026, soulignant l'urgence maximale de la remédiation et signalant à la communauté mondiale que l'exploitation active était déjà en cours.

La spécificité et la dangerosité de cette campagne résident dans la sophistication des données collectées après la compromission initiale. INC Ransomware ne se contente pas de déployer son malware de chiffrement immédiatement après l'intrusion — ce qui permettrait une détection relativement rapide. Le groupe exploite d'abord son accès root à l'appliance SMA pour extraire trois catégories de données d'une valeur stratégique considérable. En premier lieu, les identifiants d'accès stockés ou transitant par le VPN, qui permettent un mouvement latéral vers l'Active Directory et l'ensemble du réseau interne. En second lieu, les bases de données de sessions actives, qui contiennent des tokens d'authentification pouvant être réutilisés pour usurper l'identité d'utilisateurs légitimes sans connaître leurs mots de passe. En troisième lieu, les configurations TOTP (Time-Based One-Time Password), c'est-à-dire les seeds cryptographiques qui génèrent les codes d'authentification à deux facteurs — une donnée dont la compromission a des implications durables bien au-delà de l'incident initial.

Le vol des seeds TOTP représente une menace d'une gravité particulière, souvent sous-estimée lors des procédures de réponse à incident. Ces seeds sont les secrets cryptographiques à partir desquels les applications d'authentification (Google Authenticator, Microsoft Authenticator) génèrent les codes OTP à six chiffres affichés toutes les 30 secondes. Un attaquant qui dispose de ces seeds peut générer à tout moment les codes OTP correspondants, rendant de facto l'authentification à deux facteurs complètement inopérante pour les comptes concernés — et ce de manière indéfinie, puisque les seeds ne changent pas automatiquement lorsqu'un incident est détecté. Cela signifie que même après que la victime a changé son mot de passe suite à la découverte de la compromission, l'attaquant peut continuer à accéder à ses comptes tant que les seeds TOTP n'ont pas été explicitement révoqués et régénérés. Cette opération est malheureusement rarement incluse automatiquement dans les procédures de réponse à incident des organisations qui n'ont pas été spécifiquement formées à cette menace.

INC Ransomware, actif depuis 2023, opère selon un modèle ransomware-as-a-service (RaaS). Le groupe recrute des affiliés qui louent son infrastructure d'attaque et son malware de chiffrement en échange d'une commission sur les rançons perçues — un modèle permettant de passer à l'échelle rapidement en externalisant la phase de compromission initiale tout en centralisant la gestion des négociations. À ce jour, INC Ransomware a revendiqué environ 885 victimes dans 71 pays. Les nouvelles victimes publiées sur le DLS entre juillet et début août 2026 incluent des organisations du secteur privé et public en Australie, aux États-Unis, aux Émirats Arabes Unis, en Colombie, en Suisse et dans d'autres pays selon Resecurity. La diversité géographique et sectorielle illustre l'absence de ciblage spécifique : tout déploiement d'appliance SonicWall SMA 1000 vulnérable exposé sur internet représentait une cible potentielle.

Les organisations utilisant des appliances SonicWall SMA 1000 Series qui n'auraient pas encore appliqué les correctifs publiés le 14 juillet 2026 doivent le faire immédiatement, sans attendre leur prochain cycle de maintenance planifié. Mais le patch seul ne suffit pas à répondre complètement à l'incident : compte tenu de la fenêtre d'exploitation qui remonte au moins au 22 juin, toute organisation disposant d'appliances SMA 1000 exposées doit conduire un audit forensique couvrant cette période. Cet audit doit inclure l'examen des journaux d'accès à l'appliance, la vérification des comptes créés ou modifiés, la recherche de nouvelles règles de routage ou de tunnels WebSocket non autorisés, et surtout la révocation et la régénération de tous les seeds TOTP pour l'ensemble des utilisateurs dont les comptes transitaient par ces appliances.

Les appliances VPN, cible récurrente d'une menace qui monte en sophistication

La campagne INC Ransomware contre SonicWall SMA 1000 s'inscrit dans une longue série d'attaques massives ciblant des appliances d'accès distant d'entreprise. Ces dispositifs occupent une position stratégique dans l'architecture de sécurité : nécessairement exposés sur internet pour remplir leur fonction d'accès à distance, ils concentrent de nombreux identifiants et tokens d'authentification tout en bénéficiant souvent d'un niveau de surveillance inférieur à celui des serveurs internes. Ivanti Connect Secure, Cisco ASA, Palo Alto GlobalProtect, Fortinet FortiGate et SonicWall ont tous été victimes de vulnérabilités zero-day exploitées massivement au cours des dernières années — par des groupes ransomware cherchant un accès initial rapide, mais aussi par des APT étatiques cherchant à établir des accès persistants dans des réseaux critiques. La récurrence de ces incidents suggère que les appliances d'accès distant constituent structurellement une surface d'attaque sous-protégée dans de nombreuses organisations.

Ce que la campagne SonicWall SMA 1000 illustre de manière particulièrement nette, c'est la montée en sophistication des opérateurs de ransomware dans la phase pré-chiffrement, également désignée sous le terme de "dwell time". Les groupes comme INC ne sont plus de simples opportunistes qui déploient du malware dès qu'ils obtiennent un accès : ils conduisent des opérations de reconnaissance approfondies, identifient les données les plus sensibles à exfiltrer pour maximiser la pression lors de la négociation de la rançon, et construisent des mécanismes d'accès persistant — comme le vol de seeds TOTP — qui leur garantissent un retour possible même si la victime réinitialise ses mots de passe après avoir découvert l'intrusion. Cette approche "double extorsion" combinant menace de chiffrement et publication des données exfiltrées est désormais la norme dans l'écosystème ransomware mature, et la triple extorsion — ajoutant des contacts directs avec les clients et partenaires des victimes — émerge comme tendance de 2026.

Pour les équipes de sécurité, la leçon principale de cette campagne est l'importance critique de gérer les appliances d'accès distant comme des actifs de sécurité de première priorité, au même niveau que les contrôleurs de domaine ou les systèmes de sauvegarde. Cela implique une surveillance en temps réel de leur état de mise à jour, un monitoring actif des journaux d'accès pour détecter des comportements anormaux (connexions depuis des IP inattendues, volumes de données sortantes élevés, accès à des services backend normalement non sollicités), et une procédure de réponse à incident spécifique incluant systématiquement la révocation des seeds TOTP comme étape obligatoire en cas de suspicion de compromission. L'ajout de CVE-2026-15409 et CVE-2026-15410 au catalogue KEV de la CISA signifie également que les agences fédérales américaines avaient une obligation de correction sous 72 heures — un standard que les organisations du secteur privé devraient viser à reproduire pour les vulnérabilités de cette criticité.

Sur le plan réglementaire, NIS2 — dont les obligations se renforcent progressivement pour les opérateurs d'importance vitale et les fournisseurs de services essentiels dans l'Union Européenne — impose des exigences explicites de gestion des risques qui incluent la sécurisation des accès distants et la gestion proactive des vulnérabilités connues. Une organisation opérant des appliances VPN exposés avec des vulnérabilités figurant au catalogue KEV de la CISA sans les avoir corrigées dans un délai raisonnable s'expose à des sanctions réglementaires significatives en cas d'incident, en plus des coûts directs liés à une éventuelle compromission ransomware — rançon, remédiation, perte d'activité et atteinte à la réputation. La corrélation entre les délais de patch, les obligations KEV et les exigences NIS2 est un enjeu que les RSSI des organisations soumises à ce cadre doivent désormais intégrer dans leurs reportings de conformité.

Ce qu'il faut retenir

• INC Ransomware chaîne CVE-2026-15409 (WebSocket non authentifié) et CVE-2026-15410 (escalade root) pour compromettre les appliances SonicWall SMA 1000, puis dérobe identifiants, sessions actives et seeds TOTP avant de déployer le ransomware.
• Les correctifs SonicWall sont disponibles depuis le 14 juillet 2026 ; les organisations exposées entre le 22 juin et le 14 juillet doivent réaliser un audit forensique complet — le changement de mot de passe seul est insuffisant sans révocation des seeds TOTP.
• Le vol de seeds TOTP rend l'authentification à deux facteurs inopérante de manière persistante : leur révocation et régénération complète est une étape critique et souvent oubliée de la réponse à incident sur des appliances VPN compromis.