UAT 7810 transforma routers en ORB una red de nodos de relevo que amplifica ataques

Cisco Talos ha dejado al descubierto una evolución significativa en las herramientas de un actor chino rastreado como UAT-7810, cuya función parece centrarse en construir y mantener una red de “Operational Relay Boxes” (ORB) —una infraestructura deliberada para servir como puntos de relevo y ocultamiento para operadores secundarios que ejecutan ataques dirigidos. Esta táctica convierte dispositivos de red expuestos a Internet en nodos reutilizables por múltiples grupos, lo que eleva el riesgo operativo de cualquier organización que dependa de equipos de borde no parcheados.

Lo llamativo no es solo la persistencia del actor, sino la inversión en un ciclo de desarrollo continuo: ShortLeash, su backdoor original, ha dado paso a LONGLEASH, una plataforma con funciones ampliadas de proxy y relevo, capaz de operar sobre múltiples protocolos (HTTP, DNS, SOCKS, TCP, ICMP, UDP), autorizar clientes y autodestruirse si detecta manipulación. Al mismo tiempo se han observado herramientas auxiliares como DOGLEASH (un backdoor pasivo que ejecuta shellcode en Linux), LEASHTEST (un binario ELF para test en plataformas MIPS) y JARLEASH (un backdoor Java para administración de archivos y servicios). Estas piezas juntas muestran un enfoque sistemático para comprometer y estabilizar acceso en puertas de enlace de red y dispositivos embebidos.

Las implicaciones técnicas son claras: transformar routers y cajas embebidas en “saltos” anónimos amplifica el impacto de cualquier actor que tenga acceso a esos nodos. Un ORB no solo facilita la reposición de comandos y la exfiltración de datos, sino que también complica la atribución y la contención, porque el tráfico malicioso puede parecer originado desde terceros legítimos que fueron comprometidos previamente. Además, la atención a plataformas MIPS y a binarios ELF evidencia que los autores buscan mantener y expandir la red atacando equipos que muchas organizaciones olvidan en su inventario de seguridad.

Los vectores explotados por UAT-7810 no son experimentales: los investigadores han vinculado campañas a vulnerabilidades conocidas en routers Ruckus y otros dispositivos, incluidas las CVE-2020-22653 y CVE-2023-25717, entre otras. Esto refuerza una verdad incómoda para defensores: los atacantes siguen explotando fallos publicados hace años en equipos que siguen expuestos a Internet o que no reciben actualizaciones por políticas de obsolescencia del proveedor. Puede consultarse información técnica sobre esas vulnerabilidades en bases públicas como la NVD: CVE-2020-22653 y CVE-2023-25717. Para contexto y análisis adicional sobre campañas de infraestructura, el lector puede revisar las publicaciones de Cisco Talos en su blog oficial: Cisco Talos Blog.

Desde el punto de vista de riesgos nacionales y de infraestructuras críticas, la reutilización de ORB por actores secundarios con motivaciones diversas es grave: grupos interesados en sabotaje, espionaje o interrupción pueden alquilar o reutilizar estos nodos para alcanzar objetivos sensibles con menor probabilidad de detección. Ya se ha documentado el uso de esta infraestructura por otros actores vinculados a ataques contra entidades de infraestructura crítica, lo que sugiere un ecosistema criminal y posiblemente patrocinado que opera sobre esa base técnica.

Para las organizaciones y administradores de red, la primera línea de defensa es urgente y concreta: identificar y parchear los dispositivos expuestos, especialmente routers y sistemas embebidos que ofrezcan interfaces de administración a Internet. Si un parche no está disponible por la obsolescencia del equipo, se debe retirar el dispositivo de la exposición pública o aplicar compensaciones como controles de acceso IP, filtros a nivel de borde y VPNs para gestión remota. Además, es crucial auditar inventarios para detectar equipos MIPS o Linux embebido que a menudo quedan fuera de los procesos tradicionales de gestión de parches.

La detección requiere enfoques específicos: vigilar conexiones salientes inusuales, especialmente tráfico proxy a través de protocolos atípicos (p. ej. ICMP tunneling o DNS over unusual patterns), registrar y analizar accesos a servicios web alojados en dispositivos de borde, y monitorizar la aparición de procesos o JARs no autorizados. Los equipos de seguridad deben integrar telemetría de tráfico de red con logs de dispositivos y sistemas de detección de intrusiones para atrapar comportamientos de relevo y comando-respuesta característicos de ORB. Preparar playbooks de respuesta que incluyan aislamiento del nodo y rescate forense es igualmente prioritario.

Para proveedores y operadores de infraestructuras públicas, hay una responsabilidad adicional: comunicar, corregir y, cuando proceda, reemplazar equipos que no pueden obtener actualizaciones. Los proveedores deben facilitar guías claras para mitigar explotación remota y colaborar con CERTs y con la comunidad para distribuir indicadores y mitigaciones. Las organizaciones más pequeñas deberían solicitar a sus ISPs o administradores de red que verifiquen que no se están usando routers domésticos u OEM sin las configuraciones de seguridad necesarias para la administración remota.

Finalmente, la evolución técnica de actores como UAT-7810 —su capacidad para desarrollar, probar en plataformas restringidas y desplegar múltiples familias de malware— sugiere una amenaza sostenida que no desaparecerá con una medida puntual. La estrategia de defensa debe ser integral y persistente: gestión de activos, parches, segmentación de red, detección en profundidad y coordinación con proveedores y autoridades. Mantenerse informado mediante fuentes de inteligencia de amenazas y aplicar lecciones prácticas es lo que reducirá la eficacia de redes ORB y protegerá mejor a organizaciones y servicios críticos.

Si necesita orientación técnica aplicada a su red o un análisis de riesgo específico para sus dispositivos de borde, la coordinación temprana con su equipo de seguridad, su proveedor y los equipos de respuesta a incidentes del país puede marcar la diferencia entre una mitigación efectiva y una brecha de larga duración.