Mit China verbundene Gruppe UAT-7810 baut ORB-Infrastruktur mit neuer LONGLEASH-Malware aus

Laut Cisco Talos baut die China-nahestehende Bedrohungsgruppe UAT-7810 ihr Netzwerk aus Operational Relay Boxes (ORB) weiter aus, indem sie internetfähige Netzwerkgeräte kompromittiert und aktualisierte, maßgeschneiderte Malware einsetzt. Die Aktivitäten scheinen darauf abzuzielen, die Relay-Infrastruktur der Gruppe zu erweitern, die von anderen Bedrohungsakteuren für verdeckte Operationen wiederverwendet werden kann.

Talos brachte UAT-7810 zuvor mit der Wartung von LapDogs in Verbindung, einem erstmals 2025 identifizierten ORB-Netzwerk. Die aktuelle Analyse deutet darauf hin, dass die Gruppe über ihre früheren Tools hinausgegangen ist und nun eine neue Backdoor-Familie namens LONGLEASH sowie mehrere zusätzliche Implantate einsetzt, die bislang nicht öffentlich dokumentiert waren.

Neue Tools in der Kampagne

Forschern zufolge wurde UAT-7810 beim Einsatz von mindestens vier verwandten Tools beobachtet:

• LONGLEASH, ein leistungsfähiger Nachfolger der früheren ShortLeash-Malware
• DOGLEASH, eine passive Backdoor für Linux-Geräte, die von Angreifern bereitgestellten Shellcode ausführen kann
• LEASHTEST, ein ELF-Sample zum Testen von Funktionen auf eingebetteten Systemen auf MIPS-Basis
• JARLEASH, eine Java-Backdoor für Administrationsaufgaben wie die Dateiverwaltung und den Fernzugriff auf Befehle

Laut Talos erweitert LONGLEASH die Proxy- und Relay-Funktionen über mehrere Protokolle hinweg, darunter HTTP, DNS, SOCKS, TCP, ICMP und UDP. Die Malware kann außerdem als Vermittler zwischen der Command-and-Control-Infrastruktur und anderen Knoten im Netzwerk fungieren und so dazu beitragen, dass sich der Datenverkehr in normale Internetaktivitäten einfügt. Zudem ist die Malware darauf ausgelegt, sich selbst zu löschen, wenn sie Manipulationsversuche erkennt.

Fokus auf Router und eingebettete Geräte

Die Angriffsketten nutzen bekannte Schwachstellen in exponierten Netzwerkgeräten aus, darunter Sicherheitslücken in WLAN-Routern von Ruckus und zuletzt in ASUS-AiCloud-Routern. Dieses Muster deutet darauf hin, dass die Gruppe ihr Relay-Netzwerk durch Angriffe auf Geräte erweitern will, die häufig nur unzureichend überwacht und selten gepatcht werden.

Talos zufolge weist der Einsatz von LEASHTEST darauf hin, dass UAT-7810 das Verhalten auf MIPS-Plattformen weiterhin validiert, während die Gruppe zugleich ein umfassenderes Backdoor-Framework entwickelt. Die Ergebnisse deuten auf einen aktiven Entwicklungszyklus und ein ORB-Ökosystem hin, das für die Nutzung durch verbundene Betreiber weiter ausgebaut wird.