UAT-7810 mở rộng mạng ORB bằng backdoor LONGLEASH và công cụ mới
"Cisco Talos reported that China-linked UAT-7810 is expanding its Operational Relay Box (ORB) network by compromising internet-facing networking devices and deploying updated malware, including a new LONGLEASH backdoor and additional tools such as DOGLEASH, LEASHTEST, and JARLEASH. The activity leverages known vulnerabilities in unpatched Ruckus routers and ASUS AiCloud routers, with LONGLEASH adding proxying, C2 relay, and self-removal capabilities to support persistence and lateral relay operations."
Tác động đáng kể do ORB giúp duy trì và khuếch tán năng lực tấn công, đồng thời LONGLEASH tăng khả năng relay C2 và tự xoá dấu vết khiến điều tra khó hơn.
Nguy cơ gián đoạn vận hành và chi phí ứng phó tăng khi các thiết bị biên (router) bị khai thác để thiết lập truy cập dai dẳng; ảnh hưởng có thể lan sang nhiều mục tiêu thông qua hạ tầng ORB.
Theo báo cáo của Cisco Talos, tác nhân đe doạ gắn với Trung Quốc UAT-7810 đang mở rộng mạng Operational Relay Box (ORB) bằng cách xâm nhập các thiết bị mạng hướng ra Internet và triển khai bộ mã độc được cập nhật. Hoạt động này nhằm duy trì và phát tán hạ tầng ORB (được biết đến từ tháng 6/2025) để các nhóm thứ cấp có thể thực hiện tấn công vào mục tiêu giá trị cao.
Các chuỗi tấn công được cho là khai thác nhiều lỗ hổng đã biết trên thiết bị chưa được vá, bao gồm CVE-2020-22653, CVE-2020-22658 và CVE-2023-25717 trên router Ruckus; đồng thời nhắm tới ASUS AiCloud Routers dễ bị ảnh hưởng bởi CVE-2025-2492. LONGLEASH là phiên bản kế nhiệm của ShortLeash, bổ sung cơ chế proxying, relay C2 trung gian, và khả năng tự xoá/loại bỏ dấu vết khi phát hiện can thiệp.
Ngoài ra, UAT-7810 còn sử dụng các công cụ DOGLEASH (backdoor thụ động thực thi shellcode trên Linux), LEASHTEST (ELF kiểm thử chức năng trên nền tảng MIPS), và JARLEASH (backdoor Java phục vụ quản trị như quản lý tệp, FTP/SFTP, Netcat). Khuyến nghị: rà soát và vá router theo danh sách CVE, hạn chế truy cập Internet vào thiết bị quản trị, và giám sát lưu lượng bất thường liên quan C2/proxy.