Una campaña de reconocimiento a gran escala está atacando activamente los firewalls SonicWall en internet, con ciberdelincuentes utilizando más de 4.000 direcciones IP únicas para mapear dispositivos vulnerables antes de intentar explotarlos. Entre el 22 y el 25 de febrero de 2026, los actores de amenazas generaron 84.142 sesiones de escaneo contra la infraestructura SonicOS de SonicWall, procedentes de 4.305 direcciones IP distintas.

Una campaña de reconocimiento a gran escala está atacando activamente firewalls SonicWall en internet, con ciberdelincuentes utilizando más de 4.000 direcciones IP únicas para mapear dispositivos vulnerables antes de lanzar intentos de explotación.

Entre el 22 y el 25 de febrero de 2026, los actores de amenazas generaron 84.142 sesiones de escaneo contra la infraestructura SonicOS de SonicWall, procedentes de 4.305 direcciones IP distintas distribuidas en 20 sistemas autónomos.

La escala y coordinación de esta actividad indican que una gran ola de explotación podría ser inminente, poniendo en riesgo grave a miles de organizaciones.

La VPN SSL de SonicWall ha sido durante mucho tiempo uno de los vectores de acceso inicial más atacados por grupos de ransomware.

El principal objetivo de la campaña fue el endpoint REST API de SonicOS que verifica si la VPN SSL está activa en un dispositivo —un paso previo que los atacantes realizan antes de dirigir pruebas de credenciales más agresivas contra objetivos confirmados.

El 92% de todas las sesiones registradas impactaron en esta única ruta de API, lo que confirma que el objetivo era la construcción sistemática de una lista de blancos en lugar de una explotación inmediata.

Investigadores de GreyNoise identificaron y rastrearon de cerca esta campaña, señalando que operó a través de tres clusters de infraestructura distintos que trabajaron de manera coordinada durante el período de cuatro días.

Esta actividad refleja de cerca una campaña que GreyNoise documentó en diciembre de 2025, cuando los atacantes ejecutaron nueve millones de sesiones de escaneo contra infraestructuras de Palo Alto y VPN de SonicWall desde más de 7.000 direcciones IP, compartiendo huellas digitales idénticas en ambos proveedores.

La campaña de febrero de 2026 representa una continuación clara y una escalada de ese patrón anterior.

Lo que hace que esta campaña sea particularmente alarmante es la escala de la superficie de ataque expuesta.

Más de 430.000 firewalls SonicWall son accesibles en internet, con más de 25.000 dispositivos VPN SSL que presentan vulnerabilidades críticas sin parchear y aproximadamente 20.000 ejecutando firmware que ya no recibe soporte del fabricante.

Desde marzo de 2023, el grupo de ransomware Akira ha comprometido al menos 250 organizaciones a través de accesos a VPN de SonicWall, generando unos $244 millones en pagos de rescate. El ransomware Fog representa otra parte significativa, con algunos intrusiones documentadas logrando el cifrado completo de la red en menos de cuatro horas.

Cinco de las siete CVE de SonicWall relevantes para esta superficie de ataque aparecen en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, y cuatro de ellas tienen uso documentado en ataques de ransomware.

Un grupo de seis IPs con base en Ámsterdam escaneó simultáneamente dispositivos SonicWall y Cisco ASA, lo que apunta a una operación de mapeo multivendedor más amplia que va más allá de una sola línea de productos.

Cómo los atacantes se ocultaron detrás de un servicio proxy comercial

Uno de los aspectos técnicamente más significativos de esta campaña fue el uso deliberado de un servicio proxy comercial para gestionar una gran parte del escaneo.

Aproximadamente el 32% del volumen total de la campaña —unas 27.119 sesiones— provino de 4.102 direcciones IP de salida rotativas enrutadas a través de infraestructura proxy alojada en Canadá.

Este servicio se promociona como proveedor de acceso a más de 100 millones de direcciones IP en 150 países, pero en esta operación funcionó como una capa de anonimización para ocultar el origen real del tráfico de escaneo.

El uso del proxy fue quirúrgico por diseño. Las sesiones se distribuyeron de manera que cada IP de salida promedió solo 6,6 solicitudes, manteniéndose por debajo de los umbrales que activan limitaciones de tasa o bloqueos basados en reputación.

Esto hace que las listas negras estáticas tradicionales sean casi inútiles, ya que la infraestructura rota a través de miles de direcciones en una sola ventana de escaneo.

La plataforma de gestión del servicio proxy había estado fuera de línea desde diciembre de 2025, dejando sus nodos de salida operando sin monitoreo de abusos durante tres meses antes de que comenzara esta campaña.

El análisis de huellas digitales mostró que casi el 70% de todas las sesiones compartían una firma HTTP: una solicitud GET sobre HTTP/1.0 emparejada con un agente de usuario de Chrome 119, una combinación que los navegadores Chrome legítimos nunca usan, lo que la convierte en un marcador confiable de herramientas de escaneo automatizado.

Las organizaciones que utilizan dispositivos SonicWall deben parchear inmediatamente CVE-2024-53704 (CVSS 9.8, KEV de CISA), implementar autenticación multifactor en todos los usuarios de VPN SSL y restringir el acceso a la interfaz de gestión a rangos de IP confiables.

Además, también deben restablecer todas las contraseñas de usuarios locales, especialmente aquellas heredadas de versiones antiguas de firmware, monitorear solicitudes HTTP/1.0 con agentes de usuario modernos como indicadores de actividad de escaneo, y retirar los dispositivos SRA al final de su vida útil que no tienen parches disponibles para CVE-2021-20028 y CVE-2019-7481.