Según un informe publicado por Arctic Wolf Labs, los dispositivos SSLVPN de SonicWall han sido objetivo de ataques de ransomware conocidos como Akira. El incremento en la actividad se observó a finales de julio de 2025.
Aumento de actividades de ransomware
El informe menciona que se registraron múltiples intrusiones previas al ransomware en un corto período de tiempo. Cada una de estas intrusiones involucró acceso a la red mediante dispositivos SSLVPN de SonicWall.
Vulnerabilidad Zero-Day o uso de credenciales
La empresa de ciberseguridad sugirió que los ataques podrían estar explotando una falla de seguridad aún no determinada en los dispositivos, lo cual indicaría la presencia de una vulnerabilidad Zero-Day. Sin embargo, no se descartó la posibilidad de que los ataques se basaran en credenciales para el acceso inicial.
Actividad observada desde octubre de 2024
El repunte de ataques que involucran dispositivos SSLVPN de SonicWall se registró por primera vez el 15 de julio de 2025. Aunque este fue el momento en que se notó un aumento, Arctic Wolf afirmó haber observado inicios de sesión maliciosos similares en VPN desde octubre de 2024.
Características del acceso malicioso
Se observó un breve intervalo entre el acceso inicial a la cuenta SSLVPN y el cifrado del ransomware. Según el informe, los grupos de ransomware suelen utilizar servidores privados virtuales (VPS) para la autenticación en entornos comprometidos, a diferencia de los inicios de sesión legítimos que suelen provenir de redes operadas por proveedores de servicios de internet de banda ancha.
Recomendaciones de mitigación
Como medida de mitigación, se recomienda deshabilitar el servicio SSLVPN de SonicWall hasta que se publique e implemente un parche, debido a la probabilidad de una vulnerabilidad Zero-Day. Además, se sugieren otras prácticas como la implementación de autenticación multifactor (MFA) para el acceso remoto, la eliminación de cuentas de usuario del firewall local inactivas o sin uso y el mantenimiento de la higiene de contraseñas.