Resecurity beobachtet nach eigenen Angaben seit Anfang August 2026 eine beschleunigte Aktivität von INC Ransomware. Das Unternehmen verweist darauf, dass die Gruppe in dieser Zeit mehrere neue Opfer auf ihrer Datenleck-Seite aufgeführt hat. Laut den bei Ransomware.Live gelisteten Statistiken beansprucht die Gruppe bislang 885 Opfer; der jüngste dort genannte Eintrag stammt vom 2. August 2026.
Im Zentrum der Angriffe stehen laut den Berichten die Schwachstellen CVE-2026-15409 und CVE-2026-15410 in SonicWall Secure Mobile Access 1000. Die beiden Lücken können demnach verkettet werden, um beliebige Befehle auszuführen und anfällige Geräte zu übernehmen. SonicWall stellte die Patches für das Schwachstellenpaar Mitte Juli 2026 bereit.
Rapid7 stuft die beiden Schwachstellen als Zero-Days ein, die bereits praktisch bewaffnet wurden. Nach Angaben des Unternehmens nutzten die Angreifer ihren ersten Zugang, um hochwertige Zugangsdaten, Datenbanken aktiver Sitzungen und Seed-Konfigurationen für die zeitbasierte Einmalpasswort-Mehrfaktor-Authentifizierung zu extrahieren. Das Ziel sei gewesen, einen langfristigen, dauerhaften Zugriff sicherzustellen und anschließend seitliche Bewegungen in das interne Firmennetz durchzuführen.
In einem Folgebericht ordnete Volexity die Ausnutzung vor der Offenlegung, beginnend am 22. Juni 2026, einem Bedrohungscluster zu, das das Unternehmen als UTA0533 verfolgt. Zu den beobachteten Komponenten zählen ein Python-Skript namens KNUCKLEBALL, das zum Start von Suo5 genutzt werde, einem quelloffenen HTTP-Proxy, sowie eine benutzerdefinierte Java-Web-Shell mit Ähnlichkeiten zu Behinder, die Volexity ORANGETAIL nennt.
Rapid7 erklärte anschließend gegenüber The Hacker News, die Kampagne weise erhebliche taktische Überschneidungen mit den eigenen Untersuchungen auf. Douglas McKee, Direktor für Schwachstellenaufklärung bei Rapid7, sagte, die starke technische Korrelation deute darauf hin, dass ein einzelner Bedrohungsakteur oder eine koordinierte Gruppe für die Entdeckung und Ausnutzung dieser Zero-Day-Schwachstelle verantwortlich sei. In jüngerer Zeit habe sich INC Ransomware zum dominanten Akteur entwickelt, der diese Schwachstellenkette aktiv bewaffne.
Resecurity zufolge gehören zu den neuen Opfern, die zwischen dem 17. Juli und dem 1. August 2026 auf der INC-Seite aufgeführt wurden, Organisationen aus Privatwirtschaft und Regierung in Australien, den USA, den Vereinigten Arabischen Emiraten, Kolumbien, der Schweiz und weiteren Ländern.
Das Sicherheitsunternehmen berichtet außerdem, dass viele der neuen Opfer E-Mails sowie Anrufe von unbekannten Organisationen erhalten hätten, die vorgaben, bei Ransomware-Problemen zu helfen. In einigen Fällen seien Betroffene auch von einer Person kontaktiert worden, die sich „Andrew“ nannte und die Telefonnummer +1 (304) 384-0401 verwendete. Laut Resecurity erklärte der Anrufer, er rufe „im Namen einer Hackergruppe“ an und das Netzwerk des Opfers sei kompromittiert worden. Am Ende des Gesprächs habe er für weitere Verhandlungen die E-Mail-Adresse info@helprans[.]com genannt. Resecurity wertet solche Methoden als häufig eingesetzte Druckmittel von Ransomware-Gruppen.
Resecurity rät Kunden, SMA-1000-Appliances umgehend auf die neueste Version zu aktualisieren, falls dies noch nicht geschehen ist. Zusätzlich empfiehlt das Unternehmen umfassende Bedrohungssuche, den Austausch von Zugangsdaten und Integritätsprüfungen. Zudem sollten externe Quelladressen identifiziert werden, die mit /wsproxy interagiert oder ungewöhnliche Parameter verwendet haben, und mit internen Authentifizierungs- sowie Seitwärtsbewegungsaktivitäten korreliert werden.