China

「UAT-7810」として追跡されている中国のハッカーたちは、主にパッチが適用されていないRuckusルーターといったインターネットに接続されたネットワーク機器を侵害することで、Operational Relay Box（ORB）ネットワークを拡大すべく、マルウェアを積極的に進化させている。

Cisco Talosの研究者によると、このORBネットワークは、UAT-5918を含む、中国と結びついたその他の高度持続的脅威（APT）グループのための安全な中継インフラとして機能している。

Google Mandiantによって以前に報告されたこの種のインフラストラクチャにより、脅威アクターは地域のデバイスを通じてネットワークトラフィックをプロキシすることが可能となり、トラフィックが正当なローカルインフラストラクチャから発信されているように見せかけることで、検知を回避し、攻撃元の特定を困難にしています。

image

Talosのアナリストらは、このキャンペーンにおいて、以前に報告されたバックドア「SHORTLEASH」の新バージョンである「LONGLEASH」、Linux用バックドア「DOGLEASH」、管理ツール「JARLEASH」、およびテスト用ユーティリティ「LEASHTEST」を含む新たなマルウェアを特定した。

研究者らによると、UAT-7810は初期アクセスを得るために、主に既知の（n-day）脆弱性を悪用しており、これにはRuckusルーターのCVE-2020-22653、 CVE-2020-22658、CVE-2023-25717といったRuckusルーターの脆弱性に加え、ASUS AiCloudルーターのCVE-2025-2492も含まれます。

LONGLEASHマルウェア

新たに発見されたLONGLEASHマルウェアは、2025年にSecurityScorecardによって初めて報告されたSHORTLEASHのアップグレード版であり、その機能を大幅に拡張している。

このマルウェアは、コマンド＆コントロール（C2）通信、Webサーバーのホスティング、ネットワークトンネルの管理、およびC2サーバーとクライアントの両方としての動作をサポートしていた前バージョンを基盤としています。

これらに加え、Talosの研究者は現在、以下の機能も確認しています：

  • リバースシェル
  • トラフィックのリダイレクトを伴うHTTP、DNS、SOCKS、TCP、ICMP、およびUDPのプロキシ機能
  • SMTPクライアント／サーバー機能
  • TLSおよびPKIのサポート
  • 改ざんやその他の不審な活動が検出された際の自己削除機能
  • 中間C2サーバーとして機能し、感染ノード間でコマンドやデータを転送する機能

DOGLEASH、JARLEASH、および LEASHTEST

LONGLEASH のほか、研究者たちは、Web シェルスクリプトを介して展開される軽量な Linux バックドア「DOGLEASH」も発見しました。

起動すると、TCP ポートをオープンしてリスニング状態となり、ハードコードされたパスワードを使用して着信リクエストを認証します。シェルコマンドの実行、ファイルへのアクセスおよび変更、OS 情報の取得、ホストのメモリ内での任意のコード実行をサポートしています。

JARLEASH は、Web ベースのファイル管理機能を提供し、FTP、SFTP、Netcat サーバー機能を備えた Java ベースの管理ツールです。

最後に、脅威アクターは「LEASHTEST」を開発しました。これは、MIPS ベースの IoT デバイスがマルウェアの動作に関連する機能を実行できるかどうかを検証するために使用でき、おそらく LONGLEASH の MIPS サポートを洗練させるのに役立つものと思われます。

Cisco Talosは、UAT-7810がORBインフラストラクチャの拡大を続けており、SHORTLEASHをより高性能なLONGLEASHに積極的に置き換えたり拡張したりすると同時に、新しいマルウェアを用いてツールキットを拡充していると結論付けています。

UAT-7810の活動に関連する侵害の兆候（IoC）および最新のツールセットの完全なリストは、Cisco Talosのレポートの末尾に掲載されています。