A operação de ransomware INC se consolidou como a "principal ameaça" ao explorar falhas de segurança recém-divulgadas em appliances VPN (rede privada virtual) da série SonicWall Secure Mobile Access (SMA — Acesso Móvel Seguro) 1000.
Em um relatório publicado no fim de semana, a Resecurity afirmou que observou o ransomware INC acelerando suas atividades desde o início de agosto de 2026, com a inclusão de múltiplas vítimas em seu site de vazamento de dados. Segundo estatísticas listadas no Ransomware.Live, o grupo reivindicou 885 vítimas até o momento, com a mais recente incluída em 2 de agosto de 2026.
Suspeita-se que os ataques envolvam a exploração das vulnerabilidades CVE-2026-15409 e CVE-2026-15410, que podem ser encadeadas para facilitar a execução arbitrária de comandos e o controle de dispositivos vulneráveis. As correções para o par de vulnerabilidades foram disponibilizadas pela SonicWall em meados de julho de 2026.
Avalia-se que as duas falhas tenham sido transformadas em armas como zero-days (vulnerabilidades exploradas antes da divulgação de correção). A Rapid7 observou que os ataques aproveitaram o acesso inicial para extrair credenciais de alto valor, bancos de dados de sessões ativas e configurações-semente de TOTP (Senha Única Baseada em Tempo) da MFA (autenticação multifator), com o objetivo de garantir acesso persistente de longo prazo e, ao fim, realizar movimento lateral para a rede corporativa interna.
Em um relatório de acompanhamento, a Volexity atribuiu a exploração anterior à divulgação, iniciada em 22 de junho de 2026, a um agrupamento de ameaças que monitora como UTA0533. Os ataques envolvem a implantação de um script em Python chamado KNUCKLEBALL, usado para acionar o Suo5, um proxy HTTP (protocolo de transferência de hipertexto) de código aberto, e um web shell (interface remota de administração) personalizado em Java, semelhante ao Behinder, batizado de ORANGETAIL.
Posteriormente, a Rapid7 informou ao The Hacker News que a campanha compartilha sobreposições táticas significativas com suas próprias investigações.
"Essa forte correlação técnica indica que um único agente de ameaça ou grupo coordenado é responsável por descobrir e explorar essa vulnerabilidade zero-day", afirmou Douglas McKee, diretor de inteligência de vulnerabilidades da Rapid7. "Mais recentemente, o ransomware INC se consolidou como a principal ameaça que vem transformando essa cadeia de vulnerabilidades em armas ativamente."
A Resecurity afirmou que as novas vítimas listadas no site do ransomware INC entre 17 de julho e 1 de agosto de 2026 incluem organizações do setor privado e governamental da Austrália, dos Estados Unidos, dos Emirados Árabes Unidos (EAU), da Colômbia, da Suíça e de outros países.
A empresa de cibersegurança também revelou que "muitas das novas vítimas receberam e-mails, além de ligações telefônicas, de organizações desconhecidas que alegavam ajudar com problemas de ransomware". Em alguns casos, as vítimas também teriam sido contatadas por um indivíduo que se identificava como "Andrew", usando o número de telefone +1 (304) 384-0401.
"Ele afirmou estar ligando 'em nome de um grupo de hackers' e disse que a rede da vítima havia sido comprometida", observou a empresa. "Ao final da ligação, o indivíduo forneceu o endereço de e-mail info@helprans[.]com para novas negociações e encerrou a chamada. Métodos como esse são frequentemente usados por grupos de ransomware como 'táticas de pressão'."
Os clientes são aconselhados a aplicar imediatamente os patches (atualizações de correção) nos appliances SMA 1000 para a versão mais recente, caso ainda não tenham feito. A Resecurity também recomendou busca abrangente por ameaças, rotação de credenciais e verificação de integridade, além da aplicação de patches, para se proteger contra a ameaça.
"Identifique endereços de origem externos que interagiram com /wsproxy ou usaram parâmetros incomuns, e correlacione com a autenticação interna e a atividade de movimento lateral", acrescentou.
