UAT 7810 transforma roteadores em ORB uma rede de nodos de relevo que amplifica ataques

A Cisco Talos deixou descoberto uma evolução significativa nas ferramentas de um ator chinês rastreado como UAT-7810, cuja função parece concentrar-se em construir e manter uma rede de "Operational Relay Boxes" (ORB) — uma infraestrutura deliberada para servir como pontos de relevo e ocultação para operadores secundários que executam ataques dirigidos. Esta tática converte dispositivos de rede expostos à Internet em nodos reutilizáveis por múltiplos grupos, o que eleva o risco operacional de qualquer organização que dependa de equipamentos de borda não adesivos.

O notável não é apenas a persistência do ator, mas o investimento em um ciclo de desenvolvimento contínuo: ShortLeash, seu backdoor original, deu passo a LONGLEASH, uma plataforma com funções ampliadas de proxy e relevo, capaz de operar sobre múltiplos protocolos (HTTP, DNS, SOCKS, TCP, ICMP, UDP), autorizar clientes e autodestruir-se se detectar manipulação. Ao mesmo tempo, foram observadas ferramentas auxiliares como DOGLEASH (um backdoor passivo que executa o shellcode no Linux), LEASHTEST (um binário ELF para testes em plataformas MIPS) e JARLEASH (um backdoor Java para administração de arquivos e serviços). Estas peças juntas mostram uma abordagem sistemática para comprometer e estabilizar acesso em portas de ligação de rede e dispositivos embebidos.

As implicações técnicas são claras: transformar roteadores e caixas embebidas em “saltos” anônimos amplifica o impacto de qualquer ator que tenha acesso a esses nós. Um ORB não só facilita a reposição de comandos e a exfiltração de dados, mas também complica a atribuição e a contenção, porque o tráfico malicioso pode parecer originado de terceiros legítimos que foram previamente comprometidos. Além disso, o atendimento a plataformas MIPS e binários ELF evidencia que os autores buscam manter e expandir a rede atacando equipes que muitas organizações esquecem em seu inventário de segurança.

Os vetores explorados pela UAT-7810 não são experimentais: os pesquisadores têm vinculado campanhas a vulnerabilidades conhecidas em roteadores Ruckus e outros dispositivos, incluindo as CVE-2020-22653 e CVE-2023-25717, entre outras. Isso reforça uma verdade desconfortável para defensores: os atacantes continuam a explorar falhas publicadas há anos em equipamentos que continuam expostos à Internet ou que não recebem atualizações por políticas de obsolescência do fornecedor. Informações técnicas sobre essas vulnerabilidades em bases públicas como a NVD: CVE-2020-22653 e CVE-2023-25717. Para contexto e análise adicional sobre campanhas de infraestrutura, o leitor pode revisar as publicações da Cisco Talos em seu blog oficial: Cisco Talos Blog.

Do ponto de vista dos riscos nacionais e das infra-estruturas críticas, a reutilização de ORB por intervenientes secundários com motivações diversas é grave: grupos interessados em sabotagem, espionagem ou interrupção podem alugar ou reutilizar esses nós para alcançar objetivos sensíveis com menor probabilidade de detecção. A utilização desta infra-estrutura já foi documentada por outros intervenientes ligados a ataques contra entidades de infra-estruturas críticas, sugerindo um ecossistema criminoso e possivelmente patrocinado por essa base técnica.

Para as organizações e administradores de rede, a primeira linha de defesa é urgente e concreta: identificar e corrigir dispositivos expostos, especialmente roteadores e sistemas embebidos que ofereçam interfaces de administração à Internet. Se um adesivo não estiver disponível pela obsolescência do equipamento, o dispositivo da exposição pública deve ser retirado ou aplicado compensações como controles de acesso IP, filtros ao nível de borda e VPNs para gestão remota. Além disso, é crucial auditar inventários para detectar equipamentos MIPS ou Linux que muitas vezes ficam fora dos processos tradicionais de gestão de adesivos.

A detecção requer abordagens específicas: monitorar conexões salientes incomuns, especialmente tráfego proxy através de protocolos atípicos (por exemplo. ICMP tunneling ou DNS over unusual patterns), registrar e analisar acessos a serviços web hospedados em dispositivos de borda, e monitorar o aparecimento de processos ou JARs não autorizados. Os equipamentos de segurança devem integrar telemetria de tráfego de rede com logs de dispositivos e sistemas de detecção de intrusões para capturar comportamentos de relevo e comando-resposta característicos de ORB. Preparar playbooks de resposta que incluam isolamento do nó e resgate forense é igualmente prioritário.

Para fornecedores e operadores de infra-estruturas públicas, há uma responsabilidade adicional: comunicar, corrigir e, se for caso disso, substituir equipamentos que não podem obter atualizações. Os fornecedores devem fornecer guias claros para atenuar a exploração remota e colaborar com a CERTs e com a comunidade para distribuir indicadores e mitigações. As organizações mais pequenas devem solicitar aos seus ISPs ou administradores de rede que verifiquem que não estão usando roteadores domésticos ou OEM sem as configurações de segurança necessárias para a administração remota.

Finalmente, a evolução técnica de atores como UAT-7810 – sua capacidade para desenvolver, testar em plataformas restritas e implantar múltiplas famílias de malware – sugere uma ameaça sustentada que não desaparecerá com uma medida pontual. A estratégia de defesa deve ser integral e persistente: gestão de ativos, adesivos, segmentação de rede, detecção em profundidade e coordenação com fornecedores e autoridades. Manter-se informado por fontes de inteligência de ameaças e aplicar lições práticas é o que reduzirá a eficácia de redes ORB e protegerá melhor organizações e serviços críticos.

Se precisar de orientação técnica aplicada à sua rede ou de uma análise de risco específica para os seus dispositivos de borda, a coordenação precoce com a sua equipe de segurança, o seu fornecedor e os equipamentos de resposta a incidentes do país pode marcar a diferença entre uma mitigação efetiva e uma lacuna de longa duração.