Il gruppo di minaccia informatica UAT 7810 collegato alla Cina sta ampliando una rete ORB (Operational Relay Box) compromettendo dispositivi di rete esposti su Internet. Questo tipo di infrastruttura funziona come un insieme di nodi intermedi che mascherano la provenienza del traffico e permettono ad altri attori di minaccia di lanciare attacchi contro obiettivi di alto valore con maggiore anonimato e resilienza.
La rete ORB nota come LapDogs è stata osservata mentre cresce grazie a una campagna focalizzata su router e apparati SOHO ed enterprise non aggiornati.
Le analisi più recenti indicano un ciclo di sviluppo attivo di malware personalizzati. In particolare la famiglia ShortLeash viene evoluta in una nuova versione chiamata LONGLEASH, progettata per aumentare le capacità di controllo remoto e di instradamento del traffico. Accanto a LONGLEASH emergono anche strumenti aggiuntivi: DOGLEASH, una backdoor passiva in grado di eseguire shellcode arbitrario su dispositivi Linux compromessi, e LEASHTEST, un binario ELF usato per testare funzioni specifiche su dispositivi embedded basati su architettura MIPS, come thread, processi figli e timer asincroni. La presenza di un tool di test suggerisce attenzione alla compatibilità e alla stabilità del malware su piattaforme eterogenee tipiche dei router.
Un altro elemento rilevante è l’uso di JARLEASH, una backdoor in formato Java JAR impiegata per scopi di amministrazione dell’infrastruttura compromessa, includendo gestione file e attività operative tramite protocolli come FTP e SFTP e strumenti come Netcat. Sono stati inoltre identificati server dedicati a ospitare varianti di DOGLEASH, segnale di una distribuzione modulare e di un continuo adattamento alle difese.
La catena di attacco sfrutta vulnerabilità note su router wireless Ruckus non patchati e include CVE-2020-22653, CVE-2020-22658 e CVE-2023-25717. Campagne più recenti hanno preso di mira anche router ASUS AiCloud vulnerabili a CVE-2025-2492, indicando tentativi di allargare ulteriormente la superficie di compromissione e quindi la rete ORB. In ottica sicurezza di rete diventa essenziale applicare aggiornamenti firmware, ridurre l’esposizione dei pannelli di gestione, limitare l’accesso remoto e monitorare traffico anomalo e connessioni in uscita verso server sconosciuti.