Laut Volexity begann ein zuvor unbekannter Bedrohungsakteur, den das Unternehmen als UTA0533 verfolgt, bereits ab dem 22. Juni mit der Ausnutzung der Schwachstellen — also Wochen vor der öffentlichen Offenlegung durch SonicWall. Volexity schreibt, die Analyse von Protokollen, Festplattenabbildern und Arbeitsspeicher habe zur Identifizierung dieses Akteurs geführt. Beobachtet worden seien mehrere Zero-Day-Exploits, speziell für SonicWall-SMA-VPN-Appliances entwickelte Malware sowie weitere Werkzeuge und Methoden der Angreifer.
Bei der Untersuchung von zwei kompromittierten Appliances stellte Volexity fest, dass die Angreifer zunächst CVE-2026-15409 missbrauchten. Über den Endpunkt “/wsproxy” richteten sie demnach nicht authentifizierte WebSocket-Tunnel zu Diensten ein, die eigentlich nur von der Appliance selbst erreichbar sein sollten. Dadurch wurden interne Anwendungen zugänglich, darunter CouchDB und der Verwaltungsdienst des VPN-Geräts.
Über diesen Zugriff fragten die Angreifer laut Volexity CouchDB ab, um an die “product_uuid” der Appliance zu gelangen. Dieser Wert war demnach erforderlich, um die zweite Phase des Angriffs abzuschließen. Wie CouchDB dabei genau ausgenutzt wurde, ist laut Volexity weiterhin unklar.
Anschließend nutzten die Angreifer die Schwachstelle CVE-2026-15410 zur Befehlsinjektion über die RPC-Methode “sysCtrl.execRemoveHotfix” der Appliance Management Console aus. Das ermöglichte ihnen nach Angaben von Volexity die Ausführung von Befehlen mit Root-Rechten und damit die vollständige Übernahme der Appliance.
Mit Root-Zugriff installierte UTA0533 einen maßgeschneiderten Malware-Dropper, den Volexity KNUCKLEBALL nennt und der unter dem Dateinamen “deploy_new.py” abgelegt wurde. KNUCKLEBALL dient dazu, zwei Java-basierte Malware-Familien mit den Namen Sou5 und ORANGETAIL zu installieren, die laut Volexity für SonicWall-SMA1000-Appliances entwickelt wurden. Sou5 wird als Reverse-Proxy eingesetzt und erlaubt es den Angreifern, Datenverkehr durch die kompromittierte Appliance zu tunneln und verdeckten Zugriff auf interne Ressourcen aufrechtzuerhalten.
ORANGETAIL beschreibt Volexity als maßgeschneiderte Java-Webshell. Sie ermöglicht es den Angreifern, verschlüsselte Java-Nutzlasten an die kompromittierte Appliance zu senden und diese dynamisch innerhalb einer HTTP-Sitzung auszuführen. Die Forscher fanden zudem heraus, dass die Angreifer die nginx-Konfiguration der Appliance veränderten, um die ORANGETAIL-Webshell aus der Ferne erreichbar zu machen. Außerdem installierten sie ROOTRUN, ein Werkzeug zur Rechteausweitung, mit dem Befehle als Root ausgeführt werden können.
Volexity bewertet die Kampagne und die eingesetzte Malware als technisch deutlich ausgereift. Zugleich sei der Bedrohungsakteur bei der weiteren Ausbreitung in interne Netze der Opfer weniger erfolgreich gewesen. SonicWall hatte Kunden bereits aufgefordert, die Updates auf die Versionen 12.4.3-03453 und 12.5.0-02835 umgehend zu installieren.