INC Ransomware : 885 victimes via SonicWall SMA 1000 zero-days

Comment INC Ransomware a transformé deux failles VPN en machine à rançons mondiale

Depuis la première semaine d'août 2026, le groupe INC Ransomware a nettement accéléré son rythme d'attaques, multipliant les publications de nouvelles victimes sur son Data Leak Site (DLS). Selon les analyses publiées par Resecurity, SC Media et SecurityWeek, le groupe exploite activement une chaîne d'exploitation combinant deux vulnérabilités récemment divulguées dans les appliances SonicWall Secure Mobile Access (SMA) 1000 series, des équipements VPN d'accès distant très répandus dans les réseaux d'entreprise et gouvernementaux. Le compteur de victimes déclarées sur le DLS d'INC Ransomware a dépassé les 885 organisations fin juillet-début août 2026, en faisant l'un des groupes de ransomware les plus prolifiques de l'année en termes de volume de cibles revendiquées.

La première vulnérabilité, référencée CVE-2026-15409 avec un score CVSS de 10.0, affecte le composant /wsproxy de l'interface de gestion du SMA 1000. Il s'agit d'un contournement de pre-authentification : un attaquant externe non authentifié peut ouvrir un tunnel WebSocket vers des services du SMA 1000 normalement accessibles uniquement depuis l'interface localhost. Concrètement, cette faille permet à un acteur malveillant d'accéder depuis Internet à des fonctionnalités d'administration normalement isolées du réseau externe, sans présenter le moindre credential valide. La gravité maximale CVSS 10.0 reflète la combinaison d'exploitabilité réseau sans authentification et d'impact total sur la confidentialité, l'intégrité et la disponibilité du système cible.

La seconde vulnérabilité, référencée CVE-2026-15410 avec un score CVSS de 7.2, est une faille de path-traversal dans le workflow remove_hotfix du service ctrl-service de l'appliance. Elle est abusée en second temps pour procéder à une escalade de privilèges depuis un compte de service à faibles droits vers root. Utilisées séquentiellement, les deux CVE forment une chaîne d'exploitation complète : CVE-2026-15409 fournit l'accès initial non authentifié à distance, CVE-2026-15410 complète la prise de contrôle totale de l'appliance avec les droits les plus élevés du système. Le résultat est un accès root complet à un équipement VPN positionné en coupure sur le périmètre réseau de l'organisation victime.

La chronologie de l'exploitation est instructive quant à la rapidité de réaction des acteurs malveillants. Selon les recherches de Volexity, une exploitation pré-divulgation a débuté dès le 22 juin 2026, attribuée à un cluster d'activité suivi sous le nom UTA0533. SonicWall a publié ses correctifs en milieu de juillet 2026, soit plusieurs semaines après le début de l'exploitation active. Ce délai entre compromission initiale et correction officielle représente une fenêtre d'exposition critique durant laquelle les organisations vulnérables n'avaient aucun moyen de se défendre par la mise à jour du firmware.

À partir de la publication des correctifs, INC Ransomware a accéléré son exploitation en s'appuyant sur les appliances SMA 1000 non patchées pour déployer sa chaîne d'infection complète. Après avoir obtenu un accès root via la chaîne WSProxy, le groupe procède à l'installation d'un implant persistant sur l'appliance VPN, utilise celle-ci comme point de pivot vers le réseau interne de l'organisation, se déplace latéralement pour identifier les serveurs critiques et les sauvegardes, exfiltre les données sensibles vers une infrastructure contrôlée, puis déploie le ransomware de chiffrement. L'ensemble du cycle d'attaque, de la compromission initiale au déploiement du ransomware, peut se dérouler en moins de 48 heures selon les analyses de Resecurity.

Les victimes identifiées entre le 17 juillet et le 1er août 2026 couvrent un spectre géographique et sectoriel large : organisations gouvernementales et privées en Australie, aux États-Unis, aux Émirats Arabes Unis, en Colombie, en Suisse et dans d'autres pays. Les secteurs touchés incluent des prestataires de services managés (MSP), des établissements de santé, des cabinets juridiques et des infrastructures industrielles. INC Ransomware, actif depuis 2023, se distingue par une stratégie de double extorsion classique — chiffrement et menace de publication des données — mais aussi par l'usage croissant d'appels téléphoniques directs aux victimes pour accentuer la pression psychologique lors des négociations, selon les informations publiées par Security Affairs.

La CISA a ajouté CVE-2026-15409 à son catalogue Known Exploited Vulnerabilities (KEV) le 5 août 2026, imposant aux agences fédérales américaines de patcher leurs appliances SMA 1000 dans un délai de trois semaines. L'agence américaine a également émis un avis conjoint avec le FBI recommandant à toutes les organisations utilisant le SMA 1000 de vérifier leurs journaux de connexion pour détecter des activités anormales sur le composant /wsproxy depuis le 22 juin 2026, et d'isoler les appliances non patchées du réseau jusqu'à application des correctifs.

En France, l'ANSSI a relayé l'alerte via son flux CERT-FR, rappelant que les appliances SonicWall SMA font partie des équipements les plus ciblés depuis 2021 et appelant les opérateurs à prioriser la mise à jour de leur parc. Les versions firmware concernées par les correctifs de mi-juillet 2026 sont disponibles sur le portail MySonicWall pour tout client disposant d'un contrat de support actif.

Pourquoi les VPN d'accès distant restent la porte d'entrée favorite des groupes ransomware

L'exploitation des appliances VPN et d'accès distant par les groupes de ransomware n'est pas un phénomène nouveau, mais il s'est considérablement intensifié depuis 2023. Les raisons sont structurelles : ces équipements sont par définition exposés sur Internet et constituent le point d'entrée légitime vers le réseau interne de l'organisation. Une faille pré-authentification sur un VPN est l'équivalent d'une clé maîtresse offrant un accès non surveillé au bâtiment. Citrix NetScaler, Ivanti Connect Secure, Fortinet FortiGate et SonicWall ont chacun fait l'objet d'exploitations massives de ce type ces deux dernières années, illustrant une course permanente entre la découverte de vulnérabilités et leur correction.

Le modèle économique d'INC Ransomware illustre une évolution du marché des groupes cybercriminels vers une spécialisation accrue. Plutôt que de cibler un secteur particulier, le groupe adopte une approche opportuniste basée sur les équipements VPN vulnérables comme vecteur d'entrée, quel que soit le secteur d'activité de la victime. Cette stratégie permet un déploiement massif et automatisé en scannant Internet à la recherche d'appliances non patchées. La rapidité d'exploitation post-divulgation — parfois quelques heures seulement entre la publication d'un correctif et le début de l'exploitation par des groupes comme INC — rend la gestion des vulnérabilités encore plus urgente.

Du point de vue de la défense en profondeur, cet incident rappelle l'importance critique de la segmentation réseau derrière les équipements VPN. Si un attaquant parvient à compromettre un concentrateur VPN, la présence de contrôles de segmentation stricts entre la DMZ VPN et les réseaux internes critiques peut limiter considérablement la portée du mouvement latéral. Trop d'organisations maintiennent encore une architecture où le VPN dispose d'un accès large et peu filtré vers les ressources internes, transformant une compromission de périmètre en une catastrophe de niveau 1 pour l'ensemble du système d'information.

La réglementation NIS2, applicable depuis octobre 2024 en France pour les entités essentielles et importantes, exige explicitement la mise en place de politiques de gestion des vulnérabilités, incluant des délais de déploiement des correctifs adaptés au niveau de criticité. Les incidents liés à des appliances VPN non patchées constituent souvent un manquement documentable à ces obligations, susceptible d'entraîner des sanctions de l'ANSSI en cas d'incident grave. Les analyses post-incident menées par les autorités européennes après les grandes campagnes d'exploitation VPN de 2024-2025 ont déjà conduit à plusieurs procédures d'enquête sur la maturité des processus de patch management des entités victimes.

Ce qu'il faut retenir

• Appliquer immédiatement les correctifs firmware SonicWall SMA 1000 publiés en juillet 2026 corrigeant CVE-2026-15409 (CVSS 10) et CVE-2026-15410 (CVSS 7.2) — les appliances non patchées sont activement compromises.
• Auditer les journaux de connexion du composant /wsproxy depuis le 22 juin 2026 pour détecter toute activité pré-patch anormale pouvant indiquer une compromission déjà en cours.
• Renforcer la segmentation réseau derrière les concentrateurs VPN pour limiter l'impact d'une éventuelle compromission et réduire la surface de mouvement latéral disponible aux attaquants.