SonicWall: Akira non sfrutta uno zero-day, ma una falla del 2024

SonicWall ha smentito l’ipotesi che i recenti attacchi ransomware Akira contro firewall Gen 7 con SSLVPN attivo siano dovuti a una nuova vulnerabilità. Secondo l’azienda, i cybercriminali stanno invece sfruttando la CVE-2024-40766, una falla di controllo degli accessi in SonicOS corretta nell’agosto 2024, ma che aveva bisogno di una procedura più estesa del solito per esser corretta.

In un aggiornamento pubblicato questa settimana sul bollettino di sicurezza, SonicWall afferma di avere un alto grado di certezza sul fatto che le attività osservate non siano legate a uno zero-day, ma alla falla già documentata nella precedente advisory SNWLID-2024-0015. La CVE-2024-40766 consente a un attaccante di ottenere accesso non autorizzato agli endpoint vulnerabili, dirottare sessioni attive o entrare nella rete tramite VPN, aggirando i controlli di protezione.

La vulnerabilità era stata ampiamente sfruttata dopo la sua divulgazione, con operatori ransomware come Akira e Fog che l’avevano utilizzata per penetrare nelle reti aziendali. Lo scorso venerdì, Arctic Wolf Labs aveva ipotizzato l’esistenza di un nuovo zero-day nei firewall Gen 7, basandosi su pattern di attacco compatibili con le campagne Akira. Questo aveva spinto SonicWall a consigliare ai clienti di disattivare temporaneamente i servizi SSLVPN e limitare la connettività ai soli indirizzi IP fidati.

Le indagini interne condotte su 40 incidenti hanno però portato a una conclusione diversa: in molti casi, la vulnerabilità è stata sfruttata perché, durante la migrazione da firewall Gen 6 a Gen 7, le password locali degli utenti sono state mantenute inalterate, contrariamente alle indicazioni contenute nella prima advisory. SonicWall ricorda che il reset delle credenziali era un passaggio critico per mitigare la falla.

L’azienda raccomanda ora di aggiornare il firmware alla versione 7.3.0 o successiva, che introduce protezioni più robuste contro attacchi brute-force e l’autenticazione multifattoriale (MFA), e di reimpostare tutte le password locali, soprattutto quelle utilizzate per l’accesso SSLVPN.

Non tutti, però, sembrano convinti. Su Reddit, diversi clienti hanno espresso dubbi sull’accuratezza del resoconto di SonicWall, riportando violazioni su account creati solo dopo la migrazione e lamentando che il vendor abbia rifiutato di analizzare i loro log. Resta da vedere quanto le violazioni connesse a questi post siano davvero correlati al resto della campagna di Akira e quanti siano invece relativi a eventi diversi.

• Akira ransomware, Arctic Wolf Labs, attacco informatico, brute force protection, CVE-2024-40766, cybersecurity, MFA, migrazione Gen 6 a Gen 7, password locali, sicurezza IT, SonicOS, SonicWall, SSLVPN, violazione dati, vulnerabilità firewall