Resecurity berichtet, dass unter den verschiedenen Akteuren, die CVE-2026-15409 und CVE-2026-15410 gemeinsam gegen SonicWall SMA1000 einsetzen, die Gruppe INC Ransomware derzeit besonders hervorsticht. Das Unternehmen schreibt, dass INC Ransomware seine Aktivitäten Anfang August 2026 beschleunigt habe. Mehrere neue Opfer seien auf der eigenen Datenleck-Seite der Gruppe veröffentlicht worden.

In den vergangenen Wochen listete die Ransomware-Gruppe laut Resecurity dort Organisationen aus dem privaten und staatlichen Sektor in den USA, Australien, den Vereinigten Arabischen Emiraten, Kolumbien und der Schweiz auf. Weitere Einzelheiten zu den betroffenen Organisationen nennt der Quelltext nicht.

Die technische Ausgangslage ist klar umrissen: Die beiden Schwachstellen in SonicWalls SMA1000-Appliances erlauben nicht authentifizierten Remote-Angreifern, auf eingeschränkte Dienste zuzugreifen und anschließend ihre Berechtigungen auf Root auszudehnen. SonicWall veröffentlichte Patches am 14. Juli. Ebenfalls am selben Tag wurden die Lücken in CISA’s KEV-Katalog aufgenommen. Der Quelltext hält fest, dass die Schwachstellen seit mindestens 22. Juni bereits als Zero-Days in freier Wildbahn ausgenutzt wurden.

Volexity hatte die beobachtete Ausnutzung zuvor einem Bedrohungsakteur namens UTA0533 zugeordnet. Nach Angaben der Firma sammelte dieser Zugangsdaten von kompromittierten Appliances ein und spielte schädliche Dateien auf die Systeme, hatte aber weniger Erfolg bei seitlichen Bewegungen auf andere Systeme.

Rapid7 beobachtete dagegen, dass Angreifer von SMA1000-Geräten aus in interne Unternehmensnetzwerke wechselten. Das geschah laut Rapid7 wahrscheinlich, nachdem auf den kompromittierten Appliances eine Hintertür installiert worden war.

Resecurity nennt neben der eigentlichen Ausnutzung der Schwachstellen auch neue Entwicklungen bei der Kontaktaufnahme mit Opfern. Das Unternehmen unterstützte nach eigenen Angaben mehrere Betroffene bei digitalforensischen Untersuchungen und bei Schwachstellenanalysen, um die Ursache der Kompromittierung einzugrenzen. Dabei habe sich gezeigt, dass viele der neuen Opfer E-Mails und Telefonanrufe von unbekannten Organisationen erhielten, die vorgaben, bei Ransomware-Problemen zu helfen.

In einem Fall stammte die E-Mail von einer Domain, die erst nach der Ausnutzungsaktivität registriert worden war, und zwar über einen chinesischen Domain-Registrar. Zudem wurden Opfer telefonisch von einem Bedrohungsakteur kontaktiert, der sich Andrew nannte und angab, eine Gruppe von Hackern zu vertreten.

Laut Resecurity nannte die Person am Ende des Gesprächs die E-Mail-Adresse info@helprans[.]com für weitere Verhandlungen und beendete danach den Anruf. Das Unternehmen ordnet solche Methoden als häufig genutzte Druckmittel von Ransomware-Gruppen ein.