Campanha de varredura massiva detectada em interfaces de gerenciamento
Uma atividade de varredura em escala global foi identificada recentemente, focada nas interfaces de gerenciamento de firewalls SonicWall. A inteligência de ameaças da GreyNoise reportou um aumento significativo nas tentativas de acesso às APIs de gerenciamento do SonicOS entre 9 e 18 de maio de 2026. O pico mais notável ocorreu em 12 de maio, quando aproximadamente 597.000 sessões foram registradas em um único dia.
Esse volume representa um aumento de cerca de 46 vezes em comparação com a atividade média diária observada nos 30 dias anteriores. O evento marca o maior volume de um único dia registrado na tag SonicWall SonicOS API Scanner nos últimos 90 dias, indicando uma campanha de reconhecimento coordenada e em larga escala contra interfaces de firewall expostas.
Padrão histórico e correlação com vulnerabilidades
Os pesquisadores da GreyNoise destacam que um pico semelhante no início deste ano precedeu a divulgação da CVE-2026-0400, uma vulnerabilidade no SonicWall divulgada em 24 de fevereiro de 2026. Os picos observados em 18 de janeiro, 30 de janeiro e 14 de fevereiro ocorreram 37, 25 e 10 dias antes da divulgação, respectivamente.
Embora essa correlação não confirme uma nova vulnerabilidade, reflete um padrão recorrente onde atores de ameaças aumentam a atividade de sondagem antes de divulgações públicas ou campanhas de exploração. A GreyNoise enfatiza que o pico atual é um sinal, não uma previsão, mas pode representar uma fase inicial de reconhecimento.
Análise técnica do tráfego de varredura
A análise do tráfego de varredura da GreyNoise revela ferramentas e infraestrutura consistentes:
- Tooling: Quase 99% das solicitações usam um user-agent do Chrome 119 no Linux x86_64, correspondendo a campanhas anteriores onde 94,5% do tráfego usava a mesma impressão digital.
- Infraestrutura de origem: Cerca de 56% do tráfego origina-se de redes na Holanda e 44% da Ucrânia, contabilizando mais de 99% das sessões observadas.
- Concentração de ASN: Um único sistema autônomo (AS211736) contribui com aproximadamente metade do volume total de varredura.
- Serviços visados: As portas 80 e 8080 (HTTP) são quase exclusivamente visadas, indicando foco em interfaces de gerenciamento baseadas na web.
- Classificação: A maioria dos IPs de origem é categorizada como suspeita pela GreyNoise.
Medidas de mitigação recomendadas
Equipes de segurança que utilizam dispositivos SonicWall devem tomar precauções imediatas para reduzir a exposição e se preparar para possíveis tentativas de exploração:
Ações imediatas:
- Restringir o acesso à API de gerenciamento SonicOS e ao SSL VPN apenas para intervalos de IP confiáveis.
- Remover a exposição pública das interfaces de gerenciamento do firewall.
- Implementar autenticação multifator (MFA) para todos os usuários de SSL VPN.
- Auditar sistemas em busca de contas administrativas não autorizadas criadas após 1º de maio de 2026.
- Implantar listas de bloqueio de IP dinâmicas para filtrar fontes suspeitas conhecidas.
Monitoramento de curto prazo:
- Acompanhar os avisos do PSIRT da SonicWall para quaisquer novas divulgações de vulnerabilidades.
- Preparar-se para aplicar patches dentro de 24 horas após o lançamento.
- Aumentar a retenção de logs e habilitar alertas para atividade de saída incomum.
Embora nenhuma nova vulnerabilidade tenha sido confirmada, a escala e o padrão dessa atividade sugerem que os defensores devem tratar o pico como um sinal de alerta precoce. O endurecimento proativo, o monitoramento contínuo e a prontidão rápida para patching permanecem críticos para mitigar os riscos potenciais associados à exposição da infraestrutura SonicWall.