Google Threat Intelligence Group (GTIG) รายงานถึงกลุ่มแฮกเกอร์ UNC6148 ที่กำลังไล่แฮกไฟร์วอลล์ SonicWall Secure Mobile Access (SMA) 100 ที่หมดอายุซัพพอร์ตไปแล้ว แม้ว่าภายหลัง SonicWall จะออกแพตช์อุดช่องโหว่ให้ แต่ก็มีบางองค์กรติดตั้งแพตช์โดยไม่เปลี่ยนรหัสผ่าน ทำให้แฮกเกอร์เข้าถึงระบบได้อยู่ดี

SMA-100 ถูกแฮกตั้งแต่ช่วงปี 2023-2024 โดยตัวสินค้านั้นหมดอายุซัพพอร์ตไปตั้งแต่ปี 2017

SonicWall แจ้งเตือนลูกค้าที่ใช้ไฟร์วอลล์รุ่นที่หมดอายุไปแล้ว ได้แก่ตระกูล SMA 100 และ ตระกูล SRA ว่ากำลังมีกลุ่มแฮกเกอร์โจมตีองค์กรผ่านทางไฟร์วอลล์เหล่านี้ด้วยช่องโหว่ที่ไม่มีแพตช์

CrowdStrike เป็นผู้รายงานการโจมตีครั้งนี้จากการตรวจสอบเหตุการณ์โจมตีของกลุ่มมัลแวร์เรียกค่าไถ่ BGH (big game hunting) และพบว่าเหยื่อทุกรายใช้ไฟร์วอลล์ตระกูล SRA รุ่นเก่า และเมื่อตรวจสอบล็อกในไฟร์วอลล์พบข้อความ "Virtual Assist Installing Customer App" ในไฟร์วอลล์ หลังจากทดสอบช่องโหว่พบว่าแฮกเกอร์สามารถดึงรหัสผ่านของผู้ใช้ที่กำลังเชื่อมต่ออยู่ออกไปได้ เป็นช่องทางเริ่มต้นสำหรับการโจมตี

SonicWall ออกประกาศแจ้งเตือนลูกค้าว่าไฟร์วอลล์ในตระกูล SMA 100 (รวมถึง SMA 200, SMA 210, SMA 400, SMA 410, SMA 500v) ที่ใช้เฟิร์มแวร์เวอร์ชั่น 10.x กำลังถูกแฮกเกอร์ใช้ช่องโหว่ที่ยังไม่มีการเปิดเผยก่อนหน้านี้ไล่โจมตีอยู่ โดยตอนนี้กำลังอยู่ระหว่างการพัฒนาแพตช์

ทาง SonicWall แนะนำทางเลือกสำหรับลูกค้าที่ใช้งานไฟร์วอลล์ที่ได้รับผลกระทบไว้ 4 ทาง ได้แก่ 1) เปิดการล็อกอินหลายขั้นตอนและรีเซ็ตรหัสผ่าน 2) บล็อกการเข้าถึงตัวอุปกรณ์โดยตรง 3) ปิดเครื่องรอบริษัทออกแพตช์ 4) ถอยกลับไปใช้เฟิร์มแวร์เวอร์ชั่น 9.x