گروه هکری وابسته به چین UAT-7810 با بدافزار جدید LONGLEASH شبکه ORB خود را گسترش می‌دهد

پژوهشگران امنیت سایبری از ادامه فعالیت گروه تهدید پیشرفته (APT) وابسته به چین با شناسه UAT-7810 خبر داده‌اند؛ گروهی که با توسعه بدافزارهای اختصاصی خود، در حال گسترش شبکه Operational Relay Box (ORB) از طریق نفوذ به تجهیزات شبکه‌ای متصل به اینترنت است.

بر اساس گزارش Cisco Talos، این گروه مسئول ایجاد و توسعه شبکه ORB موسوم به LapDogs است که نخستین بار در ژوئن ۲۰۲۵ شناسایی شد. هدف اصلی UAT-7810 ایجاد زیرساختی پایدار از دستگاه‌های آلوده است تا سایر گروه‌های وابسته بتوانند از آن برای اجرای حملات سایبری علیه اهداف حساس و زیرساخت‌های حیاتی استفاده کنند.

بررسی‌های انجام‌شده نشان می‌دهد یکی از گروه‌هایی که از این زیرساخت بهره برده، UAT-5918 است؛ بازیگری که از سال ۲۰۲۳ تاکنون حملاتی را علیه زیرساخت‌های حیاتی تایوان با هدف حفظ دسترسی بلندمدت به شبکه قربانیان انجام داده است.

در تازه‌ترین فعالیت‌ها، این گروه نسخه جدیدی از بدافزار ShortLeash را با نام LONGLEASH توسعه داده و هم‌زمان دو ابزار جدید با نام‌های DOGLEASH و LEASHTEST را نیز به زرادخانه خود افزوده است. DOGLEASH یک درب پشتی غیرفعال برای سیستم‌های لینوکسی است که امکان اجرای شل‌کد دلخواه را فراهم می‌کند، در حالی که LEASHTEST برای آزمایش قابلیت‌های مختلف روی تجهیزات مبتنی بر معماری MIPS مورد استفاده قرار می‌گیرد. همچنین ابزار مدیریتی JARLEASH نیز برای مدیریت فایل‌ها و برقراری ارتباط از طریق پروتکل‌هایی مانند FTP، SFTP و Netcat روی برخی از سرورهای این گروه مشاهده شده است.

طبق این گزارش، مهاجمان برای آلوده‌سازی تجهیزات از آسیب‌پذیری‌های وصله‌نشده در روترهای Ruckus شامل CVE-2020-22653، CVE-2020-22658 و CVE-2023-25717 سوءاستفاده می‌کنند. علاوه بر این، روترهای ASUS AiCloud آسیب‌پذیر در برابر CVE-2025-2492 نیز در حملات اخیر هدف قرار گرفته‌اند که نشان‌دهنده تلاش این گروه برای افزایش مقیاس شبکه ORB است.

نسخه جدید LONGLEASH نسبت به نسل قبلی قابلیت‌های پیشرفته‌تری در اختیار مهاجمان قرار می‌دهد. این بدافزار از پروتکل‌های HTTP، DNS، SOCKS، TCP، ICMP و UDP برای ایجاد تونل و پروکسی ارتباطات استفاده کرده، امکان مدیریت ارتباطات بین سرورهای فرماندهی و کنترل (C2)، احراز هویت کلاینت‌ها، انتقال دستورات میان گره‌های شبکه و حتی حذف کامل بدافزار و آثار آن در صورت شناسایی تلاش برای دستکاری را فراهم می‌کند.

در مجموع، یافته‌های Cisco Talos نشان می‌دهد UAT-7810 همچنان به توسعه فعال ابزارهای خود ادامه می‌دهد و با گسترش شبکه ORB و بهبود قابلیت‌های LONGLEASH، در حال ایجاد زیرساختی قدرتمندتر برای پشتیبانی از عملیات سایبری گروه‌های وابسته به چین است.