UAT-7810, il gruppo che trasforma i router dimenticati in infrastrutture per gli APT

LapDogs è una rete di router e dispositivi edge compromessi utilizzati come relay per nascondere le attività degli attaccanti. Cisco Talos attribuisce con alta confidenza la sua crescita al gruppo UAT-7810, associato all'ecosistema delle minacce cinesi. La backdoor LONGLEASH consente di inoltrare comandi e traffico attraverso apparati che possono continuare a funzionare normalmente.

Il router continua a funzionare. Non ci sono rallentamenti evidenti, messaggi di errore o segnali tali da spingere qualcuno ad aprire un’indagine. Eppure, mentre continua a svolgere normalmente il compito per cui è stato installato, potrebbe anche instradare il traffico di un’operazione di spionaggio.

È questa una delle immagini che rimangono dopo aver letto la ricerca pubblicata da Cisco Talos il 7 luglio 2026. Al centro dell’analisi c’è UAT-7810, un gruppo che Talos associa con alta confidenza all’ecosistema delle minacce cinesi e che considera il principale responsabile della crescita di LapDogs.

LapDogs è una rete di Operational Relay Box, cioè router e altri apparati compromessi utilizzati come nodi intermedi nelle comunicazioni degli attaccanti.

Non siamo quindi davanti alla classica botnet usata solo per generare traffico o automatizzare attacchi. LapDogs sembra avere un ruolo più discreto: fornire ad altri attori un’infrastruttura intermedia da utilizzare per rendere meno visibili le proprie attività.

La campagna compare anche nel monitoraggio di SOCRadar, che riprende l’analisi di Cisco Talos e raccoglie gli elementi principali relativi all’infrastruttura, alle vulnerabilità sfruttate e agli strumenti associati a UAT-7810.

Il valore di un indirizzo IP apparentemente normale

Chi conduce un’operazione APT si trova davanti a un problema molto concreto: collegarsi direttamente al bersaglio espone parte dell’infrastruttura utilizzata, facilita eventuali attività di blocco e fornisce agli analisti elementi che possono aiutare a collegare l’operazione a campagne precedenti.

Inserire uno o più relay lungo il percorso rende invece la ricostruzione molto più difficile.

È qui che entrano in gioco i dispositivi edge. Un router installato in una piccola azienda, in una filiale o persino in un’abitazione dispone di un indirizzo IP che, almeno in apparenza, non ha nulla di sospetto. Una volta compromesso, quel dispositivo può diventare l’ultimo passaggio visibile prima del bersaglio.

Nei log resterà quindi l’indirizzo IP del router compromesso, non necessariamente quello dell’operatore che ha realmente impartito i comandi.

Per chi difende la rete, questo complica ancora di più il lavoro di attribuzione. Il proprietario del dispositivo compromesso potrebbe non sapere nulla dell’attività in corso e, allo stesso tempo, il gruppo che gestisce la rete ORB potrebbe essere diverso da quello che la utilizza per condurre l’operazione.

Talos cita, ad esempio, UAT-5918 tra gli attori China-nexus che possono utilizzare l’infrastruttura attribuita a UAT-7810. La distinzione è importante: nel report i due cluster vengono mantenuti separati, con attività e obiettivi propri.

Le sovrapposizioni tecniche possono suggerire una collaborazione o una relazione operativa, ma da sole non bastano per considerarli la stessa entità.

LapDogs era già stata documentata da SecurityScorecard nel 2025. Un anno dopo, però, la rete non sembra essere stata abbandonata dopo la disclosure. Talos descrive infatti nuovi server e nuovi strumenti, un segnale del fatto che UAT-7810 ha continuato a sviluppare e mantenere l’infrastruttura. La prosecuzione dell’attività è stata confermata anche da un follow-up di SecurityScorecard del 9 luglio 2026.

LONGLEASH e il salto di qualità della rete

Il fulcro tecnico della ricerca è LONGLEASH, una versione evoluta della backdoor SHORTLEASH. Entrambe derivano da un codebase indicato internamente come “ff-agent”, mentre per LONGLEASH compare anche il nome di progetto “nz1.0”.

SHORTLEASH disponeva già delle funzioni necessarie per comunicare con il command and control, creare tunnel, ospitare un web server e operare sia come client sia come server C2.

LONGLEASH estende queste capacità e aggiunge il supporto a proxy HTTP, DNS, SOCKS, TCP, ICMP e UDP. Può inoltre reindirizzare pacchetti, aprire una reverse shell e gestire comunicazioni SMTP.

La differenza più significativa, però, sta in un’altra funzione.

LONGLEASH può ricevere comandi dal C2 principale e inoltrarli ad altri peer, comportandosi a sua volta come un server intermedio. Il dispositivo compromesso, quindi, non si limita a mettere a disposizione il proprio indirizzo IP, ma entra direttamente nella struttura di comando dell’operazione.

La variante sviluppata per processori MIPS utilizza Boost.Asio, per ridurre i tempi di blocco e aumentare le prestazioni delle operazioni di rete.

Talos ha individuato anche componenti riconducibili a Nanopb, Mbed TLS e musl. Sono elementi meno evidenti, ma utili a capire quanto il malware sia stato adattato all’ambiente embedded.

LONGLEASH cerca anche di confondersi con il normale traffico di rete utilizzando lo User-Agent di Chrome 122 su Windows 10. Presa da sola, una stringa del genere potrebbe non destare particolare attenzione. Diventa però più interessante quando proviene da un router con architettura MIPS.

È un’incongruenza minima, ma può rappresentare un buon punto di partenza durante un’attività di threat hunting.

Il malware include inoltre una routine in grado di rimuovere l’impianto e le relative tracce quando rileva manomissioni o connessioni considerate sospette. Questo mette in evidenza anche un limite delle analisi basate soltanto sugli hash: non trovare il file sul dispositivo non significa necessariamente che quel dispositivo non sia stato compromesso.

Una cassetta degli attrezzi costruita intorno all’edge

LONGLEASH non opera da solo. Talos ha individuato anche DOGLEASH, JARLEASH e LEASHTEST, strumenti diversi tra loro ma tutti pensati per esigenze operative molto concrete.

DOGLEASH è una backdoor scritta in C e compilata per architetture MIPS, ARM e x64. Lo script di installazione scarica il binario, aggiunge una regola iptables per consentire il traffico sulla porta scelta e avvia il listener.

I comandi ricevuti consentono di aprire una shell, leggere file, rinominare file per crearne un backup e raccogliere informazioni sul sistema. Se il codice ricevuto non rientra tra le funzioni previste, la backdoor può anche eseguirlo direttamente in memoria.

JARLEASH è invece orientata soprattutto alla gestione operativa. Si tratta di una backdoor Java con un’interfaccia web per la gestione dei file, server FTP e SFTP e un servizio Netcat configurabile.

Può essere installata sui sistemi compromessi che dispongono di Java, ma Talos l’ha osservata anche sull’infrastruttura utilizzata dagli attaccanti.

Nella configurazione sono presenti anche commenti in cinese semplificato. È un elemento compatibile con la valutazione di Talos, ma da solo non basta a dimostrare l’origine del gruppo.

LEASHTEST, invece, aiuta a capire meglio cosa avviene nella fase di sviluppo e test. Non è propriamente uno strumento malevolo, ma un binario di prova chiamato “iot-test”, utilizzato per verificare alcune funzioni di base sui sistemi MIPS.

Crea thread e processi, apre una porta TCP, testa timer asincroni e la gestione delle eccezioni.

La sua presenza su un router rimane comunque tutt’altro che normale. Più che uno strumento operativo, sembra il banco di prova di chi considera lo sviluppo ancora in corso.

La falla più utile è quella rimasta senza patch

Per compromettere i dispositivi, UAT-7810 non ha avuto bisogno, almeno nei casi descritti da Talos, di vulnerabilità zero-day.

Il report segnala lo sfruttamento di vulnerabilità già note nei router wireless Ruckus: CVE-2020-22653, CVE-2020-22658 e CVE-2023-25717.

Un indirizzo collegato all’infrastruttura, 217.15.164[.]147, era stato associato anche a tentativi di sfruttamento della CVE-2025-2492 contro router ASUS AiCloud all’inizio del 2026.

Questo potrebbe indicare un tentativo di estendere LapDogs anche agli apparati ASUS. Talos lascia comunque aperta un’altra ipotesi: l’attività potrebbe essere riconducibile direttamente a UAT-7810 oppure a un attore collegato al gruppo.

Il report raccoglie quattro indirizzi IP, URL associati alle porte 99, 2222 e 8088, hash, firme Snort e ClamAV e il fingerprint di un certificato TLS autofirmato. Nel certificato osservato su due server, tutti i campi del subject contengono la parola “exploit”.

Indicatori così riconoscibili sono utili come punto di partenza, ma hanno una validità operativa limitata. Possono cambiare rapidamente e, se letti fuori contesto, rischiano di produrre falsi positivi.

La parte forse meno evidente, ma più importante, resta quindi la conoscenza degli apparati presenti nella propria rete.

Bisogna sapere dove si trovano, quale firmware utilizzano, se sono ancora supportati e chi ne gestisce gli aggiornamenti. Allo stesso tempo, è necessario osservare il loro comportamento: modifiche inattese alle regole iptables, listener non previsti, nuovi binari o connessioni outbound insolite possono essere segnali da approfondire.

E un router che si presenta in rete come Chrome su Windows dovrebbe quantomeno far nascere qualche domanda.

LapDogs mette in evidenza un aspetto importante: un dispositivo edge può essere compromesso continuando comunque a funzionare normalmente. E il suo proprietario potrebbe non essere nemmeno il vero obiettivo dell’operazione. Agli attaccanti interessa quel dispositivo per la posizione che occupa nella rete, per il suo indirizzo IP e, soprattutto, per la poca attenzione che spesso riceve.

È questo il punto centrale del report: i router non sono più semplici dispositivi attraverso cui transita il traffico. Sono endpoint a tutti gli effetti, e qualcuno ha già imparato a trasformarli in infrastruttura.

Il valore di un indirizzo IP apparentemente normale

Chi conduce un’operazione APT si trova davanti a un problema molto concreto: collegarsi direttamente al bersaglio espone parte dell’infrastruttura utilizzata, facilita eventuali attività di blocco e fornisce agli analisti elementi che possono aiutare a collegare l’operazione a campagne precedenti.

Inserire uno o più relay lungo il percorso rende invece la ricostruzione molto più difficile.

È qui che entrano in gioco i dispositivi edge. Un router installato in una piccola azienda, in una filiale o persino in un’abitazione dispone di un indirizzo IP che, almeno in apparenza, non ha nulla di sospetto. Una volta compromesso, quel dispositivo può diventare l’ultimo passaggio visibile prima del bersaglio.

Nei log resterà quindi l’indirizzo IP del router compromesso, non necessariamente quello dell’operatore che ha realmente impartito i comandi.

Per chi difende la rete, questo complica ancora di più il lavoro di attribuzione. Il proprietario del dispositivo compromesso potrebbe non sapere nulla dell’attività in corso e, allo stesso tempo, il gruppo che gestisce la rete ORB potrebbe essere diverso da quello che la utilizza per condurre l’operazione.

Talos cita, ad esempio, UAT-5918 tra gli attori China-nexus che possono utilizzare l’infrastruttura attribuita a UAT-7810. La distinzione è importante: nel report i due cluster vengono mantenuti separati, con attività e obiettivi propri.

Le sovrapposizioni tecniche possono suggerire una collaborazione o una relazione operativa, ma da sole non bastano per considerarli la stessa entità.

LapDogs era già stata documentata da SecurityScorecard nel 2025. Un anno dopo, però, la rete non sembra essere stata abbandonata dopo la disclosure. Talos descrive infatti nuovi server e nuovi strumenti, un segnale del fatto che UAT-7810 ha continuato a sviluppare e mantenere l’infrastruttura.

LONGLEASH e il salto di qualità della rete

Il fulcro tecnico della ricerca è LONGLEASH, una versione evoluta della backdoor SHORTLEASH. Entrambe derivano da un codebase indicato internamente come “ff-agent”, mentre per LONGLEASH compare anche il nome di progetto “nz1.0”.

SHORTLEASH disponeva già delle funzioni necessarie per comunicare con il command and control, creare tunnel, ospitare un web server e operare sia come client sia come server C2.

LONGLEASH estende queste capacità e aggiunge il supporto a proxy HTTP, DNS, SOCKS, TCP, ICMP e UDP. Può inoltre reindirizzare pacchetti, aprire una reverse shell e gestire comunicazioni SMTP.

La differenza più significativa, però, sta in un’altra funzione.

LONGLEASH può ricevere comandi dal C2 principale e inoltrarli ad altri peer, comportandosi a sua volta come un server intermedio. Il dispositivo compromesso, quindi, non si limita a mettere a disposizione il proprio indirizzo IP, ma entra direttamente nella struttura di comando dell’operazione.

La variante sviluppata per processori MIPS utilizza Boost.Asio, una scelta adatta alla gestione di attività di rete asincrone su dispositivi con risorse più limitate rispetto a un server tradizionale.

Talos ha individuato anche componenti riconducibili a Nanopb, Mbed TLS e musl. Sono elementi meno evidenti, ma utili a capire quanto il malware sia stato adattato all’ambiente embedded.

LONGLEASH cerca anche di confondersi con il normale traffico di rete utilizzando lo User-Agent di Chrome 122 su Windows 10. Presa da sola, una stringa del genere potrebbe non destare particolare attenzione. Diventa però più interessante quando proviene da un router con architettura MIPS.

È un’incongruenza minima, ma può rappresentare un buon punto di partenza durante un’attività di threat hunting.

Il malware include inoltre una routine in grado di rimuovere l’impianto e le relative tracce quando rileva manomissioni o connessioni considerate sospette. Questo mette in evidenza anche un limite delle analisi basate soltanto sugli hash: non trovare il file sul dispositivo non significa necessariamente che quel dispositivo non sia stato compromesso.

Una cassetta degli attrezzi costruita intorno all’edge

LONGLEASH non opera da solo. Talos ha individuato anche DOGLEASH, JARLEASH e LEASHTEST, strumenti diversi tra loro ma tutti pensati per esigenze operative molto concrete.

DOGLEASH è una backdoor scritta in C e compilata per architetture MIPS, ARM e x64. Lo script di installazione scarica il binario, aggiunge una regola iptables per consentire il traffico sulla porta scelta e avvia il listener.

I comandi ricevuti consentono di aprire una shell, leggere file, crearne copie con nomi diversi e raccogliere informazioni sul sistema. Se il codice ricevuto non rientra tra le funzioni previste, la backdoor può anche eseguirlo direttamente in memoria.

JARLEASH è invece orientata soprattutto alla gestione operativa. Si tratta di una backdoor Java con un’interfaccia web per la gestione dei file, server FTP e SFTP e un servizio Netcat configurabile.

Può essere installata sui sistemi compromessi che dispongono di Java, ma Talos l’ha osservata anche sull’infrastruttura utilizzata dagli attaccanti.

Nella configurazione sono presenti anche commenti in cinese semplificato. È un elemento compatibile con la valutazione di Talos, ma da solo non basta a dimostrare l’origine del gruppo.

LEASHTEST, invece, aiuta a capire meglio cosa avviene nella fase di sviluppo e test. Non è propriamente uno strumento malevolo, ma un binario di prova chiamato “iot-test”, utilizzato per verificare alcune funzioni di base sui sistemi MIPS.

Crea thread e processi, apre una porta TCP, testa timer asincroni e la gestione delle eccezioni.

La sua presenza su un router rimane comunque tutt’altro che normale. Più che uno strumento operativo, sembra il banco di prova di chi considera lo sviluppo ancora in corso.

La falla più utile è quella rimasta senza patch

Per compromettere i dispositivi, UAT-7810 non ha avuto bisogno, almeno nei casi descritti da Talos, di vulnerabilità zero-day.

Il report segnala lo sfruttamento di vulnerabilità già note nei router wireless Ruckus: CVE-2020-22653, CVE-2020-22658 e CVE-2023-25717.

Un indirizzo collegato all’infrastruttura, 217.15.164[.]147, era stato associato anche a tentativi di sfruttamento della CVE-2025-2492 contro router ASUS AiCloud all’inizio del 2026.

Questo potrebbe indicare un tentativo di estendere LapDogs anche agli apparati ASUS. Talos lascia comunque aperta un’altra ipotesi: l’attività potrebbe essere riconducibile direttamente a UAT-7810 oppure a un attore collegato al gruppo.

Il report raccoglie quattro indirizzi IP, URL associati alle porte 99, 2222 e 8088, hash, firme Snort e ClamAV e il fingerprint di un certificato TLS autofirmato. Nel certificato osservato su due server, tutti i campi del subject contengono la parola “exploit”.

Indicatori così riconoscibili sono utili come punto di partenza, ma hanno una validità operativa limitata. Possono cambiare rapidamente e, se letti fuori contesto, rischiano di produrre falsi positivi.

La parte forse meno evidente, ma più importante, resta quindi la conoscenza degli apparati presenti nella propria rete.

Bisogna sapere dove si trovano, quale firmware utilizzano, se sono ancora supportati e chi ne gestisce gli aggiornamenti. Allo stesso tempo, è necessario osservare il loro comportamento: modifiche inattese alle regole iptables, listener non previsti, nuovi binari o connessioni outbound insolite possono essere segnali da approfondire.

E un router che si presenta in rete come Chrome su Windows dovrebbe quantomeno far nascere qualche domanda.

LapDogs mette in evidenza un aspetto importante: un dispositivo edge può essere compromesso continuando comunque a funzionare normalmente. E il suo proprietario potrebbe non essere nemmeno il vero obiettivo dell’operazione.Agli attaccanti interessa quel dispositivo per la posizione che occupa nella rete, per il suo indirizzo IP e, soprattutto, per la poca attenzione che spesso riceve.

È questo il punto centrale del report: i router non sono più semplici dispositivi attraverso cui transita il traffico. Sono endpoint a tutti gli effetti, e qualcuno ha già imparato a trasformarli in infrastruttura.

Inva Malaj

Studente con una solida formazione in gestione delle minacce di sicurezza informatica, intelligenza artificiale, etica dell'AI e trasformazione digitale. Attualmente impegnata in uno stage curriculare di 800 ore in Security Threat Management presso TIM, che è parte integrante del corso di formazione "Digital Transformation Specialist" presso l'ITS Agnesi a Roma. Ho completato il corso di Dark Web - Threat Management e sono parte attiva del Team DarkLab di Red Hot Cyber.