INC Ransomware s'impose sur SonicWall SMA : 885 victimes

INC Ransomware prend le contrôle de la surface d'attaque SonicWall SMA 1000

Le 3 août 2026, la société de cyberintelligence Resecurity a publié un rapport détaillé montrant comment le groupe INC Ransomware s'est imposé comme l'acteur de menace dominant dans l'exploitation des vulnérabilités critiques affectant les appliances VPN SonicWall Secure Mobile Access (SMA) 1000. Si les patches pour les CVE-2026-15409 et CVE-2026-15410 étaient disponibles depuis la mi-juillet 2026 via l'advisory SNWLID-2026-0008 de SonicWall, la campagne d'exploitation post-patch s'intensifie à un rythme préoccupant, alimentée par les nombreuses organisations qui n'ont pas encore mis à jour leurs équipements exposés sur Internet.

La chronologie de cet incident illustre la dynamique redoutable des zero-days exploités avant divulgation. La société Volexity a documenté une exploitation active débutant dès le 22 juin 2026, soit plus de trois semaines avant que SonicWall ne publie ses patches le 14 juillet 2026. Cette période de zero-day signifie que des organisations ont été compromises sans qu'aucune mise à jour protectrice ne fût disponible. Depuis la publication des patches, INC Ransomware cible systématiquement les organisations retardataires dont les appliances SMA 1000 restent vulnérables et accessibles sur Internet.

La chaîne d'exploitation documentée par Resecurity et CybersecurityNews porte le nom évocateur de "WSProxy-to-Root". CVE-2026-15409 est une vulnérabilité pré-authentification de niveau CVSS 10.0 affectant le composant WSProxy des appliances SMA 1000. En adressant une requête WebSocket crafted vers l'endpoint /wsproxy, un attaquant non authentifié peut établir un tunnel WebSocket qui contourne les restrictions de routage prévues et communique directement avec des services normalement limités à localhost. Cette violation de la frontière de confiance expose des composants internes non censés être accessibles depuis Internet. CVE-2026-15410 (CVSS 7.2) exploite ensuite cette situation pour élever les privilèges jusqu'au niveau root sur l'appliance. La combinaison aboutit à une compromission complète de l'équipement VPN sans le moindre credential, depuis n'importe quel point d'Internet.

INC Ransomware n'est pas un acteur récent : opérationnel depuis plusieurs années, le groupe comptabilise selon Ransomware.Live 885 victimes revendiquées à ce jour, avec la victime la plus récente listée le 2 août 2026. Cette cadence s'est nettement accélérée depuis la mi-juillet, coïncidant précisément avec la fenêtre post-divulgation des failles SonicWall. Les nouvelles victimes listées entre le 17 juillet et le 1er août 2026 couvrent plusieurs continents : Australie, États-Unis, Émirats arabes unis, Colombie, Suisse, et d'autres pays non nommés dans le rapport public.

La diversité sectorielle des victimes est caractéristique des opérations ransomware les plus prolifiques : INC Ransomware ne cible pas un secteur particulier, mais toute organisation disposant d'une appliance SonicWall SMA 1000 non patchée. Des entités gouvernementales comme des organisations du secteur privé figurent dans la liste des nouvelles victimes, illustrant l'absence de discrimination sectorielle qui maximise la surface d'attaque exploitable.

SecurityWeek et Dark Reading ont relayé les analyses de Resecurity en soulignant un élément tactique distinctif : la probable disponibilité d'un exploit fiable et automatisé pour la chaîne WSProxy-to-Root. Cette fiabilité expliquerait la cadence élevée des nouvelles compromissions — là où certains groupes doivent adapter manuellement leur approche à chaque cible, INC Ransomware dispose d'un outil capable d'automatiser le processus d'accès initial, réduisant le temps d'exploitation à quelques minutes par cible.

Un aspect particulièrement préoccupant du rapport de Resecurity concerne les tactiques d'ingénierie sociale secondaires déployées contre les victimes déjà compromises. Plusieurs organisations touchées ont reçu des emails et des appels téléphoniques de soi-disant "experts en récupération de ransomware" proposant de les aider à gérer l'incident. Dans certains cas documentés, un individu se présentant sous le nom d'"Andrew" et utilisant le numéro +1 (304) 384-0401 a contacté des victimes en prétendant pouvoir faciliter les négociations ou la récupération des données. Cette pratique de "recovery scam" peut entraîner des pertes financières additionnelles pour des organisations déjà fragilisées.

L'inclusion des CVE-2026-15409 et CVE-2026-15410 dans le catalogue KEV de la CISA en juillet 2026 aurait dû imposer aux agences fédérales américaines une mise à jour d'urgence. Malgré cela, des scans de l'espace d'adressage public révèlent que des milliers d'appliances SonicWall SMA 1000 vulnérables restent directement accessibles sur Internet, représentant autant de cibles potentielles pour INC Ransomware et les groupes qui pourraient acquérir des exploits similaires dans les semaines à venir.

La mécanique d'une exploitation industrielle post-patch

L'exploitation par INC Ransomware des failles SonicWall SMA 1000 illustre un cycle répété à de nombreuses reprises : une vulnérabilité critique dans un équipement d'accès distant est divulguée, un patch est publié, mais la réalité opérationnelle de nombreuses organisations fait que la mise à jour tarde. Dans cet intervalle, des acteurs ransomware industrialisés exploitent systématiquement chaque cible non patchée. Ce schéma a été observé avec Citrix Bleed (CVE-2023-4966), les vulnérabilités Ivanti Connect Secure, MOVEit Transfer, et maintenant SonicWall SMA 1000. La constante est l'équipement d'accès distant comme vecteur d'entrée initial privilégié : il offre un accès direct et légitime au réseau interne, sans nécessité de techniques d'évasion post-intrusion complexes.

La professionnalisation d'INC Ransomware mérite une attention particulière. Avec 885 victimes revendiquées et une opération couvrant plusieurs continents simultanément, le groupe a atteint une échelle industrielle. L'investissement probable dans un exploit fiable pour SonicWall SMA 1000 reflète une stratégie délibérée : identifier les surfaces d'attaque les plus répandues dans les organisations cibles, développer ou acquérir des exploits robustes, puis les exploiter de manière systématique à grande échelle. Cette approche est fondamentalement différente des campagnes ransomware opportunistes d'il y a cinq ans, et nécessite une réponse défensive qui va au-delà du simple patching réactif.

Le phénomène des arnaques de récupération secondaires soulève une question organisationnelle souvent négligée : la préparation pre-incident en matière de contacts de confiance. Lorsqu'une organisation est frappée par un ransomware, la pression temporelle et la perturbation opérationnelle la rendent vulnérable aux offres d'aide extérieure non sollicitées. La meilleure protection contre les recovery scammers est d'établir à l'avance des relations avec des prestataires de réponse à incident de confiance, de sorte qu'en cas de crise l'organisation sache exactement vers qui se tourner, sans se laisser attirer par des intermédiaires se manifestant spontanément.

Pour les équipes de sécurité, l'enjeu immédiat est clair : inventorier toutes les appliances SonicWall SMA 1000 de l'organisation, vérifier leur version firmware, et appliquer les patches de juillet 2026 en priorité absolue. Mais au-delà de l'urgence, cet incident rappelle l'importance d'une gestion des actifs réseau rigoureuse pour les équipements d'accès distant directement exposés sur Internet, et d'une capacité à déployer des correctifs critiques dans des délais courts — idéalement sous 48 heures pour les vulnérabilités CVSS 9.0 et supérieur.

Ce qu'il faut retenir

• Appliquez immédiatement les patches SonicWall SMA 1000 (advisory SNWLID-2026-0008, disponibles depuis le 14 juillet 2026) — INC Ransomware dispose d'un exploit opérationnel ciblant activement les appliances non patchées.
• Auditez les logs d'accès VPN depuis le 22 juin 2026 pour détecter des tentatives d'exploitation via l'endpoint /wsproxy — les IoC publiés par Resecurity et Volexity sont disponibles pour intégration dans votre SIEM.
• En cas d'incident ransomware, tout contact spontané proposant de l'aide à la récupération ou à la négociation doit être considéré avec la plus grande méfiance — vérifiez toujours l'identité via des canaux indépendants préétablis.