UTA0533 黑客组织利用 SonicWall SMA 零日漏洞发起攻击

SonicWall SMA 设备正遭受活跃攻击

一个被追踪为 UTA0533 的威胁行为者正在积极利用 SonicWall Secure Mobile Access (SMA) 设备中两个此前未知的漏洞，即零日漏洞。根据对该攻击活动的报道，攻击者正在将这些漏洞串联利用，以提升权限并获取受影响设备的 root 级别访问权限，这是攻击者在系统上所能达到的最高控制级别。

SonicWall SMA 产品是组织用于让员工安全连接到内部网络的远程访问网关，这使其成为高价值目标。当此类设备在 root 级别被攻陷时，攻击者实际上就完全控制了这台设备：他们可以检查流量、窃取凭证、深入渗透网络，并安装持久化工具，而无需进行进一步的身份验证。

什么是零日漏洞以及它为何在此至关重要

术语零日漏洞是指在被利用时厂商尚不知晓的漏洞，这意味着在攻击者能够利用它之前，厂商没有机会，即"零日"，来构建和发布补丁。这正是 UTA0533 所利用的 SonicWall SMA 漏洞所面临的情况。由于在漏洞利用开始时还没有官方修复方案，防御者没有直接的补丁途径，检测工作必须依赖于识别可疑行为，而非拦截已知特征。

这种针对远程访问和 VPN 相关基础设施的活跃零日漏洞利用模式已变得越来越普遍。类似的情况也发生在被追踪为 CVE-2026-0257 的 GlobalProtect VPN 身份验证绕过漏洞事件中，攻击者迅速行动，在防御措施跟上之前利用了广泛部署的远程访问软件中的关键漏洞。远程访问网关在设计上就位于企业网络的边界，这使得它们在存在有效漏洞利用程序时成为一个高效的入口点。

ORANGETAIL Web Shell 与 Root 级别持久化

一旦 UTA0533 在存在漏洞的 SonicWall SMA 设备上获得 root 访问权限，该组织就会被观察到部署一个名为 ORANGETAIL 的 Web Shell。Web Shell 是植入在受感染服务器上的一个小型脚本，它为攻击者提供了一个持久的远程命令界面，实际上是一个能够在重启后继续存在、并在初次入侵很久之后仍可用于发布进一步指令的后门。

借助 root 权限和一个正常运行的 Web Shell，攻击者获得了在受害者网络内部横向移动、窃取敏感数据以及维持长期访问的能力，即使最初的入口点最终被发现。这反映了近期其他入侵事件的轨迹，在这些事件中，初始网络访问被利用来造成更大的破坏，也凸显了为什么像 VPN 网关和远程访问设备这样的边缘设备应得到与核心内部系统同等的审查。这也体现了 Google 2026 年 5 月关于 AI 驱动零日漏洞利用的报告中所指出的更广泛趋势，该报告发现威胁行为者正越来越有能力以快于防御者响应速度的方式识别并武器化企业软件中的漏洞。

这对您意味着什么

如果您的组织使用 SonicWall Secure Mobile Access 设备，那么此次攻击活动就是一个直接且紧迫的关切，而非理论上的威胁。远程访问网关在 Root 级别被攻陷，可能会暴露流经它的所有内容，包括员工凭证、会话数据和内部网络路径。即使是不运行 SonicWall SMA 设备的组织，也应将此视为一个提醒：VPN 和远程访问基础设施是资源充足的攻击者的持续目标，并且针对这些系统的零日漏洞利用正在成为一个反复出现的故事，而非罕见事件。

对于日常用户和远程工作者而言，实际的启示是，雇主提供的 VPN 或远程访问工具的安全性，其重要程度不亚于您自己的密码卫生习惯。一个被攻陷的网关可能会破坏建立在其之上的所有保护措施。