Wprowadzenie do problemu / definicja
Chińsko-powiązana grupa UAT-7810 została powiązana z dalszą rozbudową infrastruktury typu ORB (Operational Relay Box), czyli sieci przejętych urządzeń brzegowych wykorzystywanych do pośredniczenia w ruchu operacyjnym innych aktorów zagrożeń. Tego rodzaju architektura utrudnia atrybucję, zaciera rzeczywiste źródło komunikacji i zwiększa odporność kampanii na wykrycie oraz blokowanie.
W praktyce ORB działa jak rozproszona warstwa przekaźnikowa oparta na legalnych, lecz skompromitowanych urządzeniach. Dzięki temu operatorzy mogą maskować swoje działania i budować bardziej trwałe zaplecze dla przyszłych operacji szpiegowskich lub ofensywnych.
W skrócie
- UAT-7810 rozwija sieć LapDogs zaliczaną do infrastruktury ORB.
- W kampanii wykorzystywane są nowe komponenty malware: LONGLEASH, DOGLEASH i JARLEASH.
- Celem są głównie routery i inne urządzenia brzegowe dostępne z internetu.
- Przejęte systemy służą jako węzły pośredniczące dla dalszych operacji.
- Kampania pokazuje, że urządzenia SOHO i edge nadal pozostają słabym ogniwem bezpieczeństwa.
Kontekst / historia
Sieci ORB od kilku lat zyskują na znaczeniu w operacjach prowadzonych przez aktorów państwowych i hybrydowych. Zamiast polegać wyłącznie na serwerach VPS lub klasycznych hostach w centrach danych, napastnicy budują warstwę relay opartą na przejętych urządzeniach znajdujących się w różnych krajach i sieciach operatorów. Takie podejście znacząco komplikuje analizę ruchu, reagowanie incydentowe oraz korelację wskaźników kompromitacji.
W przypadku UAT-7810 badacze wskazują na kontynuację działań związanych z siecią LapDogs, wcześniej opisywaną jako długotrwała infrastruktura przekaźnikowa. W najnowszej fazie obserwacji grupa rozszerzyła własny zestaw narzędzi i rozwija zaplecze operacyjne o nowe warianty backdoorów. To sugeruje dojrzewanie modelu, w którym infrastruktura nie służy wyłącznie jednemu operatorowi, ale może wspierać działania wtórnych aktorów zagrożeń.
Analiza techniczna
Kampania koncentruje się na przejmowaniu urządzeń brzegowych poprzez znane, lecz niezałatane podatności. Atakowane są przede wszystkim routery i urządzenia sieciowe wystawione do internetu. Po uzyskaniu dostępu napastnicy instalują lekkie komponenty malware przystosowane do środowisk linuksowych i ograniczonych zasobów sprzętowych, co jest charakterystyczne dla sprzętu SOHO oraz urządzeń embedded.
Kluczowym elementem nowej fazy jest LONGLEASH, rozwinięcie wcześniejszego narzędzia SHORTLEASH. Malware pełni funkcję backdoora i modułu pośredniczącego, umożliwiając wykonywanie poleceń, obsługę funkcji proxy oraz przekazywanie komunikacji do innych zainfekowanych węzłów. Oznacza to przejście od prostego utrzymania dostępu do bardziej dojrzałej, wielowarstwowej infrastruktury relay.
DOGLEASH został opisany jako backdoor przeznaczony do wykonywania poleceń na skompromitowanych urządzeniach z Linuksem. Taki komponent dobrze wpisuje się w środowiska routerowe, gdzie liczy się mały rozmiar, prostota działania i zdolność do stabilnej pracy bez wzbudzania podejrzeń administratora.
Istotnym elementem jest także JARLEASH, narzędzie oparte na Javie służące do zarządzania serwerową częścią infrastruktury operatora. W praktyce umożliwia to bardziej scentralizowane sterowanie rozproszoną siatką przekaźników. Badacze odnotowali również artefakty wskazujące na rozwój narzędzi pod architektury MIPS, co potwierdza ukierunkowanie na różnorodne platformy sprzętowe obecne w urządzeniach sieciowych.
Model ORB zakłada, że zainfekowane urządzenia nie muszą być końcowym celem operacji. Pełnią raczej funkcję warstwy maskującej i tranzytowej. Ruch pochodzący od innych operatorów może być tunelowany przez wiele legalnie wyglądających węzłów, co obniża skuteczność prostych mechanizmów reputacyjnych, geolokalizacyjnych i opartych na blokowaniu pojedynczych adresów IP.
Konsekwencje / ryzyko
Najważniejsze ryzyko polega na tym, że przejęte urządzenia brzegowe stają się częścią infrastruktury wykorzystywanej do dalszych działań ofensywnych. Organizacja może więc nie tylko utracić kontrolę nad własnym sprzętem sieciowym, ale również nieświadomie uczestniczyć w łańcuchu ataków wymierzonych w inne podmioty. To zwiększa ryzyko operacyjne, prawne i reputacyjne.
Dla zespołów SOC i IR szczególnym problemem pozostaje niska widoczność telemetryczna. Routery, punkty dostępowe oraz inne appliance’y często nie są objęte pełnym monitoringiem EDR, scentralizowanym logowaniem ani regularnym threat huntingiem. W rezultacie kompromitacja może utrzymywać się przez długi czas, a ruch relay może wyglądać jak zwykła komunikacja sieciowa.
Z perspektywy krajobrazu zagrożeń kampania potwierdza, że urządzenia edge nadal są atrakcyjnym celem dla zaawansowanych grup APT. Są powszechnie wdrażane, często słabo zarządzane i stosunkowo rzadko aktualizowane. Każda luka w patch managementcie tej klasy sprzętu może prowadzić do zbudowania trwałej infrastruktury wspierającej szpiegostwo, rekonesans lub operacje dostępu początkowego.
Rekomendacje
Organizacje powinny rozpocząć od pełnej inwentaryzacji wszystkich internet-facing urządzeń sieciowych, w tym routerów, firewalli, kontrolerów Wi-Fi, modemów i appliance’ów zdalnego dostępu. Taki sprzęt musi zostać objęty formalnym procesem zarządzania podatnościami oraz aktualizacjami.
- Ograniczyć publicznie dostępne interfejsy administracyjne wyłącznie do niezbędnych przypadków.
- Zabezpieczyć dostęp administracyjny przy użyciu MFA, segmentacji i list dozwolonych adresów.
- Regularnie skanować ekspozycję usług zarządzających i monitorować stan firmware’u.
- Zbierać logi z urządzeń edge do centralnego systemu SIEM.
- Analizować anomalie egress, nietypowe połączenia proxy oraz tunele wychodzące z urządzeń sieciowych.
- Weryfikować integralność konfiguracji, procesów i plików uruchomieniowych.
Zespoły bezpieczeństwa powinny także sprawdzić, czy w środowisku nie występują wskaźniki związane z rodziną narzędzi LEASH oraz czy firmware i konfiguracje nie noszą śladów nieautoryzowanych modyfikacji. W przypadku podejrzenia kompromitacji samo ponowne uruchomienie urządzenia może być niewystarczające. Niekiedy konieczne będzie pełne odtworzenie systemu z zaufanego obrazu, zmiana poświadczeń oraz analiza ruchu historycznego.
Długofalowo warto traktować urządzenia brzegowe jak pełnoprawne aktywa krytyczne. Oznacza to segmentację, lifecycle management, twardą politykę aktualizacji, ograniczanie usług oraz cykliczny przegląd konfiguracji bezpieczeństwa.
Podsumowanie
Aktywność UAT-7810 pokazuje, że nowoczesne operacje APT nie ograniczają się do bezpośrednich ataków na stacje robocze i serwery aplikacyjne. Coraz większe znaczenie ma budowa rozproszonej infrastruktury ORB opartej na przejętych urządzeniach brzegowych, która umożliwia maskowanie ruchu i wspieranie kolejnych kampanii.
Rozwój malware’u LONGLEASH, DOGLEASH i JARLEASH wskazuje na dojrzewanie tego modelu operacyjnego. Dla obrońców oznacza to konieczność przesunięcia większej uwagi na bezpieczeństwo routerów, appliance’ów sieciowych i innych zasobów edge, które zbyt często pozostają poza głównym nurtem monitoringu bezpieczeństwa.
Źródła
- China-Linked APT Expands Proxy Network With New Malware — https://www.infosecurity-magazine.com/news/uat-7810-china-apt-orb-proxy/
- UAT-7810 continues building ORB networks using new malware — https://blog.talosintelligence.com/uat-7810/
- China-Linked APT Expands Arsenal With New ‘Leash’ Backdoors — https://www.securityweek.com/china-linked-apt-expands-arsenal-with-new-leash-backdoors/
- Chinese hackers develop LONGLEASH malware to expand ORB network — https://www.bleepingcomputer.com/news/security/chinese-hackers-develop-longleash-malware-to-expand-orb-network/