UAT-7810, legato alla Cina, amplia l’infrastruttura ORB con il nuovo malware LONGLEASH

Cisco Talos afferma che un gruppo di minacce allineato alla Cina, monitorato come UAT-7810, continua ad ampliare una rete Operational Relay Box (ORB) compromettendo dispositivi di rete esposti a Internet e distribuendo malware personalizzati aggiornati. L’attività sembra finalizzata all’espansione dell’infrastruttura di relay del gruppo, che può essere riutilizzata da altri attori delle minacce per operazioni furtive.

Talos aveva precedentemente collegato UAT-7810 alla gestione di LapDogs, una rete ORB identificata per la prima volta nel 2025. Le analisi più recenti suggeriscono che il gruppo sia andato oltre gli strumenti utilizzati in precedenza e stia ora impiegando una nuova famiglia di backdoor chiamata LONGLEASH, insieme a diversi impianti aggiuntivi mai documentati pubblicamente prima.

Nuovi strumenti nella campagna

I ricercatori affermano che UAT-7810 è stato osservato mentre utilizzava almeno quattro strumenti correlati:

• LONGLEASH, un successore più avanzato del precedente malware ShortLeash
• DOGLEASH, una backdoor passiva per dispositivi Linux in grado di eseguire shellcode fornito dall’attaccante
• LEASHTEST, un campione ELF utilizzato per testare le funzionalità su sistemi embedded basati su MIPS
• JARLEASH, una backdoor Java utilizzata per attività di amministrazione come la gestione dei file e l’accesso ai comandi da remoto

Secondo Talos, LONGLEASH aggiunge funzionalità di proxy e relay su diversi protocolli, tra cui HTTP, DNS, SOCKS, TCP, ICMP e UDP. Può inoltre agire da intermediario tra l’infrastruttura di comando e controllo e altri nodi della rete, aiutando il traffico a confondersi con la normale attività Internet. Il malware è inoltre progettato per cancellarsi se rileva tentativi di manomissione.

Focus su router e dispositivi embedded

Le catene d’intrusione si basano su vulnerabilità note presenti in apparecchiature di rete esposte, comprese falle nei router wireless Ruckus e, più recentemente, nei router ASUS AiCloud. Questo schema suggerisce che il gruppo stia cercando di ampliare la propria rete di relay prendendo di mira dispositivi spesso sottoposti a monitoraggio insufficiente e raramente aggiornati.

Talos ha dichiarato che l’uso di LEASHTEST indica che UAT-7810 sta ancora convalidando il comportamento sulle piattaforme MIPS, mentre sviluppa un framework di backdoor più completo. I risultati indicano un ciclo di sviluppo attivo e un ecosistema ORB ancora in espansione, destinato all’uso da parte di operatori affiliati.