# UAT-7810 Quay Trở Lại Với Bộ Ba Backdoor Mới Nhắm Vào ORB Network ## Tổng quan Tháng 6/2025, SecurityScorecard vạch mặt **LapDogs** - một ORB network China-nexus với hơn 1,000 router SOHO bị nhiễm backdoor ShortLeash. Một năm sau, **actor không hề biến mất**. Cisco Talos (07/07/2026) xác nhận nhóm này, mà họ theo dõi dưới tên **UAT-7810**, vẫn tiếp tục phát triển công cụ và mở rộng hạ tầng. Ba malware mới được công bố: * **LONGLEASH** - phiên bản kế thừa ShortLeash, framework backdoor đầy đủ với proxy HTTP/DNS/SOCKS/TCP/ICMP/UDP, khả năng làm C2 trung gian, và cơ chế tự xoá dấu vết khi phát hiện bị soi * **DOGLEASH** - passive backdoor viết bằng C, bind port cục bộ và chờ lệnh, thực thi shellcode trong bộ nhớ * **JARLEASH** - backdoor Java để quản trị, có file manager web, FTP/SFTP server và netcat Điểm quan trọng nhất với SOC: UAT-7810 **không phải nhóm tấn công mục tiêu cuối**. Talos đánh giá nhiệm vụ của họ là **xây hạ tầng ORB cho các APT China-nexus khác dùng** - cụ thể là UAT-5918, nhóm từng tấn công hạ tầng trọng yếu Đài Loan. Nghĩa là một router Ruckus bị nhiễm trong mạng bạn hôm nay có thể trở thành relay node cho một chiến dịch gián điệp nhắm vào tổ chức khác trong sáu tháng tới. Thiết bị của bạn không phải mục tiêu - nó là **vũ khí** đang được xây. Bộ ba backdoor này chạy trên MIPS, ARM và x64. Vector vào vẫn là n-day trên router Ruckus chưa vá: CVE-2020-22653, CVE-2020-22658, CVE-2023-25717. Không có 0-day, không có gì tinh vi ở khâu initial access. Chỉ là những thiết bị không ai vá. ## Bối cảnh: ORB network là gì và tại sao nó phá vỡ IOC tracking ORB (Operational Relay Box) network là mạng lưới router, thiết bị IoT và VPS bị chiếm quyền, được dùng làm điểm trung chuyển traffic để che giấu hoạt động. Khác biệt cốt lõi so với botnet: | | Botnet | ORB network | | --- | --- | --- | | Mục đích | DDoS, spam, crypto mining | Che giấu traffic gián điệp | | Quy mô | Càng nhiều càng tốt | Có chọn lọc, theo vùng địa lý | | Độ ồn | Ồn ào, dễ phát hiện | Thiết bị vẫn hoạt động bình thường | | Vòng đời node | Ngắn | Dài, được chăm sóc | Trong báo cáo LapDogs gốc, SecurityScorecard nêu một luận điểm mà đội SOC nào cũng nên đọc kỹ: **sự trỗi dậy của ORB network làm xói mòn giá trị của IOC tracking truyền thống**, vì số lượng node quá lớn và tốc độ thay đổi quá nhanh. Bạn block một IP hôm nay, ngày mai traffic đến từ một router gia đình ở tỉnh khác, thuộc dải IP của một ISP hợp pháp. LapDogs bị phát hiện năm 2025 nhờ một chi tiết rất con người: ShortLeash tạo TLS certificate tự ký giả mạo **Sở Cảnh sát Los Angeles (LAPD)** - từ đó có tên "LapDogs". Theo Dark Reading dẫn lời nhà nghiên cứu Gilad Maizles của SecurityScorecard, không rõ vì sao lại chọn LAPD; có thể chỉ là trò đùa nội bộ của operator, điều không hiếm gặp ở các nhóm APT Trung Quốc. Về quy mô ban đầu: hơn 1,000 node hoạt động, tập trung ở Mỹ, Nhật, Hàn Quốc, Đài Loan và Hồng Kông. Khoảng 55% thiết bị nhiễm là Ruckus Wireless, phần còn lại nhiều nhất là Buffalo AirStation (chủ yếu ở Nhật). Nạn nhân trải trên các ngành IT, networking, bất động sản và truyền thông. Attribution China-nexus dựa trên ghi chú lập trình bằng tiếng Trung phồn thể trong script, victimology và TTP trùng với các chiến dịch China-linked khác. Điểm cần nhấn: **LapDogs mở rộng theo từng đợt nhỏ có chủ đích**, không phải lây lan cơ hội kiểu worm. Đây là dấu hiệu của tasking có kế hoạch, không phải crimeware. ## Thông tin campaign | Thuộc tính | Chi tiết | | --- | --- | | Tên actor | UAT-7810 (Cisco Talos) | | Tên network | LapDogs (SecurityScorecard STRIKE) | | Attribution | China-nexus, Talos đánh giá **high confidence** | | Vai trò | Xây và duy trì ORB network cho các APT China-nexus khác | | Actor thụ hưởng | UAT-5918 (theo dõi riêng, có overlap tooling) | | Hoạt động từ | Ít nhất 09/2023 | | Vector vào | N-day trên router Ruckus chưa vá | | CVE khai thác | CVE-2020-22653, CVE-2020-22658, CVE-2023-25717 | | Kiến trúc payload | MIPS, ARM, x64 | | Malware | SHORTLEASH → LONGLEASH, DOGLEASH, JARLEASH, LEASHTEST | | Quy mô 2025 | 1,000+ node (Mỹ, Nhật, Hàn, Đài Loan, Hồng Kông) | | Thiết bị chính | Ruckus Wireless (~55%), Buffalo AirStation | ## Timeline | Thời điểm | Sự kiện | | --- | --- | | 09/2023 | LapDogs bắt đầu hoạt động (theo SecurityScorecard) | | 06/2025 | STRIKE công bố báo cáo LapDogs, tiết lộ ShortLeash và 1,000+ node | | 11/2025 | Operation WrtHug công bố: 50,000+ router ASUS, dùng chung CVE-2025-2492 | | 09/01 - 26/02/2026 | IP 93.113.99\[.\]48 chạy cert "exploit" trên port 93 | | Đầu 2026 | IP 217.15.164\[.\]147 khai thác CVE-2025-2492 trên ASUS AiCloud | | 26/02 - 01/04/2026 | IP 95.182.100\[.\]21 chạy cert trên port 11111 | | 10/03 - 06/04/2026 | IP 83.172.159\[.\]10 chạy cert trên port 93 | | 07/07/2026 | Talos công bố UAT-7810 với LONGLEASH, DOGLEASH, JARLEASH | | 08/07/2026 | SecurityWeek đưa tin rộng rãi | | 09/07/2026 | STRIKE công bố thêm 3 IP chưa từng được tiết lộ | ## Bộ công cụ mới của UAT-7810 ### LONGLEASH: framework kế thừa ShortLeash LONGLEASH được xây trên **cùng codebase với ShortLeash** - cả hai đều có internal name **"ff-agent"**. Tên project nội bộ của LONGLEASH là **"nz1.0"**. ![LONGLEASH functional components](https://storage.ghost.io/c/af/a0/afa04ee3-414f-4481-8d23-7e7c146f192e/content/images/2026/06/data-src-image-f3d86158-a45b-4a25-9111-5f91b3cb692f.png align="center") *Hình 1. Các thành phần chức năng của LONGLEASH (Nguồn: Cisco Talos)* Ba module chính: **Base** - logging và utilities, gồm routine encode/decode Base58 và Base64. **Executor** - phần nặng ký nhất, hỗ trợ: * Reverse shell về C2 * Proxy server cho HTTP, DNS, SOCKS, TCP, ICMP, UDP * Packet redirection cho traffic TCP, UDP, HTTP * SMTP server và client * Quản lý kết nối TLS và PKI, quản lý client kết nối vào implant, socket và URI * Authorization client, routing message qua proxy network, quản lý tunnel * **Tự xoá implant và mọi dấu vết khỏi server nếu phát hiện kết nối đáng ngờ hoặc dấu hiệu bị can thiệp** **Core** - authorization và node identification, HTTP encoding, xử lý message protobuf, SHA checksum, task management. Ba chi tiết kỹ thuật đáng chú ý với người viết detection rule: 1. **User-Agent cứng**: implant mang chuỗi `Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.6261.95 Safari/537.36`. Một router Linux nhúng phát ra User-Agent của Chrome 122 trên Windows 64-bit là **mâu thuẫn logic rõ ràng**. Đây là điểm hunt tốt: UA pinned, không rotate, không khớp với platform thật. 2. **Thư viện**: LONGLEASH dùng Nanopb (xử lý protobuf), MbedTLS (TLS, proxy TLS, quản lý x509 cert), và **musl libc thay vì glibc chuẩn**. Bản compile cho MIPS dùng Boost.Asio để giảm blocking time. Việc dùng musl và static-link các thư viện này khiến binary khá đặc thù về mặt string và section layout. 3. **C2 trung gian**: LONGLEASH có thể nhận lệnh và dữ liệu từ C2 gốc rồi **chuyển tiếp cho các peer khác**. Đây chính là cơ chế biến node thành mắt xích của mạng relay, và cũng là lý do tại sao một thiết bị nhiễm có thể không bao giờ nói chuyện trực tiếp với hạ tầng của attacker. Khả năng tự huỷ khi phát hiện tampering đáng được cân nhắc khi lập kế hoạch IR: **thao tác điều tra cẩu thả trên thiết bị sống có thể phá huỷ chính bằng chứng bạn cần**. Cân nhắc chụp memory/firmware image trước khi can thiệp. ### DOGLEASH: passive backdoor chờ lệnh DOGLEASH là backdoor viết bằng C, triển khai qua shell script làm ba việc: 1. Tải DOGLEASH về 2. **Thêm iptables rule cho phép TCP traffic tới một port cụ thể** mà DOGLEASH sẽ bind và listen 3. Thực thi DOGLEASH ![Startup script](https://storage.ghost.io/c/af/a0/afa04ee3-414f-4481-8d23-7e7c146f192e/content/images/2026/06/data-src-image-3accab8d-7f20-4e49-ab54-1379fc34dcf9.png align="center") \*Hình 2. Script khởi động triển khai backdoor Bước 2 là điểm phát hiện đáng giá nhất. **Một router SOHO tự nhiên mọc thêm iptables rule ACCEPT cho một port lạ là bất thường rõ ràng**, và nó tồn tại trong cấu hình chứ không chỉ trong bộ nhớ. DOGLEASH bind và listen trên một **port cứng trong code**. Dữ liệu TCP nhận được được giải mã bằng một **chuỗi password hardcoded**. Tuỳ theo command code, nó tạo thread mới và thực hiện: | Command code | Hành động | | --- | --- | | 0x2268, 0x2267 | Thực thi lệnh qua `/bin/sh -c` | | 0x2266 | Đọc file | | 0x2271 | Đổi tên file để tạo backup | | 0x2273, 0x2274 | Đóng socket listener | | 0x3450 | Lấy thông tin OS: release, version, machine HW ID, node name | | Không khớp mã nào | **Thực thi code trong bộ nhớ** | Hành vi mặc định đáng chú ý: bất kỳ mã lệnh nào không nằm trong bảng đều được coi là **shellcode và thực thi thẳng trong memory**. Đây không phải một tính năng phụ mà là con đường chính để nạp payload tuỳ ý. Vì là **passive backdoor** - chờ kết nối vào thay vì beacon ra - DOGLEASH không sinh ra outbound traffic đều đặn để bạn bắt. Detection phải dựa vào listener bất thường, iptables rule, và inbound connection tới port lạ trên thiết bị edge. ### JARLEASH: công cụ quản trị bằng Java JARLEASH là backdoor đóng gói JAR, UAT-7810 triển khai **cả trên hạ tầng của chính họ lẫn trên hệ thống nạn nhân có sẵn Java**. Nó đi kèm script khởi động: kill mọi instance JARLEASH đang chạy, rồi spawn Java container để nạp lại. ![Startup script for JARLEASH](https://storage.ghost.io/c/af/a0/afa04ee3-414f-4481-8d23-7e7c146f192e/content/images/2026/06/data-src-image-642ab253-0825-44a3-a2dd-600cbda6bb69.png align="center") \*Hình 3. Script khởi động JARLEASH \* Khả năng: * Web-based file management interface * FTP và SFTP server * Netcat server trên IP và port chỉ định ![JARLEASH core components](https://storage.ghost.io/c/af/a0/afa04ee3-414f-4481-8d23-7e7c146f192e/content/images/2026/06/data-src-image-68ff379a-463c-4605-aea7-cdc27fda8c18.png align="center") *Hình 4. Các thành phần lõi của JARLEASH* Chi tiết attribution quan trọng: JARLEASH đọc file cấu hình ngoài hoặc dùng config nhúng sẵn, và **file cấu hình chứa comment bằng tiếng Trung giản thể**. Talos dùng đây làm một trong các căn cứ đánh giá operator là người nói tiếng Trung. Việc JARLEASH được dùng trên chính hạ tầng của attacker nói lên một điều về workflow của họ: đây là công cụ tiện dụng để quản lý file trên đám server thuê, không phải vũ khí tinh vi. Nó cũng có nghĩa là nếu bạn bắt được JARLEASH ở đâu đó, đó có thể là **server trung chuyển chứ không phải nạn nhân cuối**. ### LEASHTEST: binary test không độc hại nhưng là IOC LEASHTEST có internal name **"iot-test"**. Nó **không độc hại tự thân** - chỉ kiểm tra xem trên thiết bị MIPS có thể: * Tạo thread và join * Bind và listen port để mở TCP acceptor * Tạo child process * Tạo async timer * In "Hello World!" * Test routine xử lý exception Nhưng **sự hiện diện của nó trên thiết bị gần như chắc chắn nghĩa là đã bị compromise**. Không ai vô tình để một binary tên "iot-test" trên router production. Talos rút ra một nhận định thú vị: việc UAT-7810 vẫn phát triển và dùng LEASHTEST cho thấy dù đã có LONGLEASH - một framework backdoor đầy đủ - họ **vẫn đang tích cực test chức năng cơ bản trên nền MIPS và có thể chưa hoàn toàn tự tin về hành vi của malware trên thiết bị MIPS**. Đây là chi tiết đáng suy ngẫm. Một actor được tài trợ tốt, hoạt động từ 2023, vẫn phải chạy thử "Hello World!" trên MIPS. Nó nhắc rằng **hệ sinh thái embedded phân mảnh đến mức ngay cả APT cũng phải mò mẫm** - và cũng có nghĩa là các build hỏng, các artifact test sót lại chính là cơ hội phát hiện. ## Hạ tầng: 4 + 3 server Talos công bố **4 server** UAT-7810 dùng để host payload cho MIPS, ARM và x64. Phần lớn nội dung là DOGLEASH kèm shell script tải và thực thi. Ba IP là VPS mà Talos xác định UAT-7810 mua và dùng làm điểm tải: ```plaintext 194.233.92[.]26 217.15.160[.]247 217.15.164[.]147 ``` IP thứ tư, **95.182.100\[.\]231** (đặt tại Hồng Kông), được phát hiện qua **phân tích forensic thiết bị mạng bị compromise** - tức là nó không lộ ra từ scan bên ngoài mà phải moi từ chính nạn nhân. **TLS certificate là điểm pivot quan trọng nhất.** Hai trong số các IP (194.233.92\[.\]26 và 217.15.164\[.\]147) chạy TLS server trên **port 99** với fingerprint: ```plaintext c2ab9adaba93ff094b8f3fc37d906014d870582039d276b7bd03e6fd583d8a15 subject_dn = "C=exploit, ST=exploit, L=exploit, O=exploit, OU=exploit, CN=exploit" ``` Mọi trường trong subject DN đều là chuỗi `exploit`. Đây là **placeholder mặc định mà ai đó không buồn sửa** - và nó trở thành fingerprint hoàn hảo. ### Ba server bổ sung từ SecurityScorecard Đúng hai ngày sau báo cáo Talos, STRIKE dùng engine quét internet Driftnet pivot từ chính cert `CN=exploit` đó và tìm ra **ba server nữa chưa từng được công bố**: | IP | Port | Khoảng thời gian chạy cert | | --- | --- | --- | | 93.113.99\[.\]48 | 93 | 09/01/2026 - 26/02/2026 | | 95.182.100\[.\]21 | 11111 | 26/02/2026 - 01/04/2026 | | 83.172.159\[.\]10 | 93 | 10/03/2026 - 06/04/2026 | STRIKE lưu ý: **bất kỳ liên lạc nào tới các IP này trong đúng các khoảng thời gian trên, đặc biệt qua các port tương ứng, đều là dấu hiệu compromise tiềm tàng và cần điều tra kỹ**. Hai điểm đáng chú ý. Thứ nhất, các khoảng thời gian **nối tiếp nhau khá gọn** (09/01→26/02, 26/02→01/04, 10/03→06/04), gợi ý một quy trình rotate hạ tầng có kỷ luật chứ không phải bỏ đi ngẫu nhiên. Thứ hai, `95.182.100[.]21` nằm cùng dải /24 với `95.182.100[.]231` mà Talos tìm được qua forensic - đây là **gợi ý hunt: quét rộng hơn trong dải 95.182.100.0/24** thay vì chỉ block hai IP đã biết. (Đây là suy luận của người viết, không phải khẳng định từ Talos hay STRIKE.) ### Liên hệ với Operation WrtHug Talos ghi nhận IP `217.15.164[.]147` cũng được dùng để khai thác **ASUS AiCloud Router qua CVE-2025-2492** vào đầu năm 2026, và đánh giá rằng UAT-7810 hoặc một actor liên quan **có khả năng đang tìm cách mở rộng ORB network sang AiCloud Router**. CVE-2025-2492 là một trong sáu lỗ hổng mà [Operation WrtHug](https://www.securityweek.com/over-50000-asus-routers-hacked-in-operation-wrthug/) khai thác - chiến dịch mà SecurityScorecard công bố tháng 11/2025, chiếm quyền hơn 50,000 router ASUS end-of-life với TLS certificate dùng chung có hạn 100 năm, tập trung 30-50% ở Đài Loan. **Cần nói rõ mức độ chắc chắn ở đây.** Talos **không** đặt tên Operation WrtHug trong báo cáo của họ; họ chỉ nói IP đó khai thác CVE-2025-2492 trên AiCloud. Việc nối sang WrtHug là do SecurityWeek đưa ra khi tường thuật. Suy luận này hợp lý (cùng CVE, cùng loại thiết bị, cùng vùng địa lý, cùng nghi vấn China-nexus) nhưng **chưa phải kết luận đã được vendor xác nhận**. Bản thân STRIKE cũng chỉ đánh giá WrtHug ở mức **low-to-moderate confidence** là chiến dịch ORB facilitation từ một actor liên kết Trung Quốc chưa xác định. Bức tranh rộng hơn: LapDogs, PolarEdge, WrtHug, AyySSHush - bốn cụm ORB/botnet nhắm router edge, đều nghi China-nexus, đều tập trung Đài Loan và Đông Nam Á, có overlap hạ tầng lẻ tẻ nhưng đến nay vẫn được các vendor theo dõi **riêng biệt**. Việc chúng có phải cùng một tổ chức hay không vẫn là câu hỏi mở. ## MITRE ATT&CK Mapping | Tactic | Technique ID | Technique | Triển khai | | --- | --- | --- | --- | | Resource Development | T1583.003 | Acquire Infrastructure: Virtual Private Server | Mua VPS làm điểm host payload (3 IP xác định) | | Resource Development | T1584.005 | Compromise Infrastructure: Botnet | Xây ORB network từ router SOHO bị chiếm | | Resource Development | T1587.001 | Develop Capabilities: Malware | Tự phát triển SHORTLEASH → LONGLEASH, DOGLEASH, JARLEASH | | Initial Access | T1190 | Exploit Public-Facing Application | N-day trên Ruckus: CVE-2020-22653, CVE-2020-22658, CVE-2023-25717 | | Execution | T1059.004 | Command and Scripting Interpreter: Unix Shell | DOGLEASH thực thi lệnh qua `/bin/sh -c` (0x2267, 0x2268) | | Execution | T1620 | Reflective Code Loading | DOGLEASH thực thi shellcode trong memory với command code không xác định | | Persistence | T1543 | Create or Modify System Process | Script khởi động triển khai và duy trì backdoor | | Defense Evasion | T1562.004 | Impair Defenses: Disable or Modify System Firewall | Thêm iptables rule ACCEPT cho port của DOGLEASH | | Defense Evasion | T1070.004 | Indicator Removal: File Deletion | LONGLEASH tự xoá implant và dấu vết khi phát hiện tampering | | Defense Evasion | T1036 | Masquerading | User-Agent giả Chrome 122 trên Windows từ thiết bị Linux nhúng | | Discovery | T1082 | System Information Discovery | DOGLEASH command code 0x3450 lấy OS release, version, HW ID, node name | | Collection | T1005 | Data from Local System | DOGLEASH đọc file (0x2266); JARLEASH web file manager | | Command and Control | T1090.003 | Proxy: Multi-hop Proxy | LONGLEASH làm C2 trung gian, chuyển tiếp lệnh cho peer | | Command and Control | T1071.001 | Application Layer Protocol: Web Protocols | Proxy HTTP; port 8088, 2222, 99 | | Command and Control | T1071.004 | Application Layer Protocol: DNS | LONGLEASH proxy DNS | | Command and Control | T1573.002 | Encrypted Channel: Asymmetric Cryptography | TLS qua MbedTLS, cert tự ký | | Command and Control | T1205 | Traffic Signaling | DOGLEASH passive listener, chờ kết nối vào thay vì beacon ra | | Exfiltration | T1041 | Exfiltration Over C2 Channel | JARLEASH FTP/SFTP; DOGLEASH trả file qua socket | ## Detection và Threat Hunting ### Coverage sẵn có từ Cisco **Snort SID:** `66433`, `66432`, `66430`, `66431`, `301493` **ClamAV signature:** ```plaintext Unix.Backdoor.Agent-10059997-1 Unix.Backdoor.Agent-10059998-0 Unix.Backdoor.Agent-10059999-0 Java.Backdoor.Agent-10060000-0 Unix.Backdoor.Agent_mips32-10060001-0 Unix.Backdoor.Agent_mips32r2-10060002-0 Unix.Backdoor.Agent_armv7-10060003-0 Unix.Backdoor.Agent_mips1-10060004-0 Unix.Backdoor.Agent_mips32r2el-10060005-0 Unix.Backdoor.Agent_mips32el-10060006-0 ``` Lưu ý sự đa dạng kiến trúc trong tên signature: mips32, mips32r2, mips32el, mips32r2el, mips1, armv7. Đây là bằng chứng cho thấy UAT-7810 build payload riêng cho từng biến thể MIPS endian và revision - mức độ đầu tư không nhỏ. ### Hướng hunt theo lớp **Lớp Network (giá trị cao nhất):** * **TLS certificate** `CN=exploit`: hunt fingerprint `c2ab9adaba93ff094b8f3fc37d906014d870582039d276b7bd03e6fd583d8a15` và bất kỳ cert nào có subject DN với mọi field = `exploit`. Nếu SIEM của bạn có JA3/JA3S hoặc cert logging (Zeek `x509.log`, Suricata TLS events), đây là query đầu tiên nên chạy. * **Port bất thường**: 99, 93, 11111, 8088, 2222 - đặc biệt khi TLS chạy trên các port này từ hoặc tới thiết bị edge. * **User-Agent Chrome 122 pinned**: `Chrome/122.0.6261.95`. Hunt các trường hợp UA này phát ra từ **thiết bị không phải Windows desktop**. Một switch, AP, router, hay camera gửi UA này là mâu thuẫn. * **Cert LAPD giả** (từ ShortLeash gốc): vẫn đáng quét trên toàn bộ thiết bị Linux edge. * **Kết nối tới 7 IP trong danh sách IOC** - đặc biệt trong các khung thời gian STRIKE nêu. **Lớp Host trên thiết bị mạng:** * **iptables rule lạ**: bất kỳ rule ACCEPT nào cho port cao không rõ nguồn gốc trên router/AP. So sánh với baseline cấu hình gốc. * **Listener bất thường**: `netstat -tlnp` trên thiết bị embedded - process nào đang bind port không thuộc dịch vụ chuẩn? * **Binary tên "iot-test"** hoặc chuỗi `iot-test` trong file - LEASHTEST, tín hiệu compromise gần như chắc chắn. * **Chuỗi "ff-agent"** trong binary - internal name chung của SHORTLEASH và LONGLEASH. * **Chuỗi "nz1.0"** - project name của LONGLEASH. * **Java process bất ngờ** trên thiết bị hoặc server không có lý do chạy Java - JARLEASH. * **File cấu hình có comment tiếng Trung giản thể** cạnh file JAR. * Binary link **musl libc thay vì glibc** trên hệ thống mà toàn bộ phần còn lại dùng glibc. **Lớp Asset (quan trọng nhất về dài hạn):** Câu hỏi thẳng cho SOC: **bạn có biết tổ chức mình có bao nhiêu thiết bị Ruckus, và bao nhiêu cái trong số đó đã vá?** Ba CVE bị khai thác đều từ 2020 và 2023. Nếu câu trả lời là "không chắc", thì đó chính là lỗ hổng thực sự, không phải backdoor. Trong môi trường MSSP nhiều khách hàng, đề xuất thực tế: chạy một chiến dịch quét cross-tenant tìm (1) thiết bị Ruckus/Buffalo lộ ra internet, (2) cert `CN=exploit` hoặc cert LAPD, (3) TLS trên port 93/99/11111. Ba truy vấn này rẻ và bao phủ được phần lớn bề mặt. ### Điểm mù cần thừa nhận Nói thẳng: **phần lớn SOC không có visibility vào router SOHO**. Không có EDR trên AP Ruckus. Không có log từ router chi nhánh. Trong nhiều trường hợp, thiết bị còn do bên thứ ba quản lý. Đây chính là lý do LapDogs tồn tại được từ 2023 và vẫn sống sau khi bị công bố. Như SecurityScorecard viết trong bài follow-up: **actor được tài trợ tốt không phải lúc nào cũng bỏ đi khi bị nêu tên**; nếu hạ tầng vẫn còn giá trị, họ thích nghi, dựng lại và tiếp tục. Và họ nêu một câu hỏi chưa có lời đáp: **remediation guidance cho thiết bị tiêu dùng bị compromise nên như thế nào?** Chủ nhân router gia đình vừa không biết, vừa không có khả năng xử lý. ## Khuyến nghị **Ngay lập tức (0-24 giờ):** * Quét toàn bộ dải IP tổ chức tìm TLS cert với subject DN `CN=exploit` và fingerprint `c2ab9ada...` * Truy vấn log network 6 tháng gần nhất với 7 IP trong danh sách IOC * Kiểm kê thiết bị Ruckus Wireless lộ mặt ra internet, đối chiếu trạng thái vá với ba CVE * Nếu tìm thấy dấu hiệu: **chụp image trước khi can thiệp** - LONGLEASH tự xoá dấu vết khi phát hiện tampering **Ngắn hạn (1-4 tuần):** * Vá hoặc thay thế mọi thiết bị Ruckus dính CVE-2020-22653, CVE-2020-22658, CVE-2023-25717 * Đưa quét cert `CN=exploit` và cert giả LAPD vào chu trình quét định kỳ * Deploy ClamAV signature Cisco lên các hệ thống Linux có thể cài agent * Với thiết bị không cài được agent: dựa vào network-level detection (Snort SID, cert hunting) * Kiểm tra baseline iptables trên toàn bộ thiết bị mạng quản lý được **Dài hạn:** * Đưa thiết bị edge và SOHO vào phạm vi asset management thật sự, không phải "thiết bị mạng thì IT lo" * Thiết bị end-of-life không có đường vá: **thay, đừng để**. LapDogs sống nhờ chính những thiết bị này * Với thiết bị do bên thứ ba quản lý: đưa điều khoản thông báo vi phạm vào hợp đồng. Đề xuất này đến từ chính SecurityScorecard - rủi ro từ thiết bị bên thứ ba vẫn dội ngược về môi trường của bạn * Segment thiết bị edge khỏi mạng nội bộ. Router bị chiếm làm relay node vẫn tệ, nhưng router bị chiếm có đường vào AD thì tệ hơn nhiều * Xây năng lực hunt dựa trên **hành vi hạ tầng** (cert, JARM, port pattern) thay vì chỉ IOC IP/domain - vì như STRIKE cảnh báo, ORB network làm IOC tracking truyền thống mất giá trị ## Indicators of Compromise **IP hạ tầng (Talos, 07/2026):** ```plaintext 194.233.92[.]26 217.15.160[.]247 217.15.164[.]147 95.182.100[.]231 (Hồng Kông, phát hiện qua forensic) ``` **IP bổ sung (SecurityScorecard STRIKE, 09/07/2026):** ```plaintext 93.113.99[.]48 port 93, 09/01/2026 - 26/02/2026 95.182.100[.]21 port 11111, 26/02/2026 - 01/04/2026 83.172.159[.]10 port 93, 10/03/2026 - 06/04/2026 ``` **URL host payload:** ```plaintext http[:]//217.15.160[.]247:8088/ http[:]//217.15.160[.]247:2222/ http[:]//217.15.160[.]247:99/ http[:]//194.233.92[.]26:8088/ http[:]//194.233.92[.]26:2222/ http[:]//217.15.164[.]147:99/ http[:]//217.15.164[.]147:8088/ http[:]//217.15.164[.]147:2222/ http[:]//95.182.100[.]231:2222/ ``` **TLS certificate:** ```plaintext fingerprint: c2ab9adaba93ff094b8f3fc37d906014d870582039d276b7bd03e6fd583d8a15 subject_dn: C=exploit, ST=exploit, L=exploit, O=exploit, OU=exploit, CN=exploit ``` **Chuỗi và artifact:** ```plaintext ff-agent internal name của SHORTLEASH và LONGLEASH nz1.0 project name của LONGLEASH iot-test internal name của LEASHTEST Chrome/122.0.6261.95 User-Agent cứng trong LONGLEASH ``` **Hash - LEASHTEST:** ```plaintext 1b5649b479fd625de5c8120873644b5eb669cc89cd504582c18e0ae350fd8823 ``` **Hash - LONGLEASH:** ```plaintext 755fcee1337a252203002ecfdf673a08cfadeda8d738bef2d518a08e0626aa4f ``` **Hash - JARLEASH:** ```plaintext 324d95024fc8da5c92b5a1f4825aed5a2a91c9ca8fb6aa52abb332a4c9cf4257 bafba443170e54ef7fd431ce7f1b5e202719f3fd022e4ef70788904f574d2cdf ``` **Hash - JARLEASH startup script:** ```plaintext e799d72929d7ccc7f6b6109742b8cc482838303207efc989543b6e1ca6d16e9c ``` **Hash - JARLEASH config file:** ```plaintext 3b89d183eb014e29d9d0d4e45fc2b784a7fcfcf31dd48fd3bde30f8d956383d1 ``` **Hash - DOGLEASH (trích 20/78 mẫu, danh sách đầy đủ trong báo cáo Talos):** ```plaintext 604b53f87d6c070bf387e80c70a6df8d272fa3fc143148d41f13e59d52ab1f13 c92541f273eeb576d39235d0a5c6f18f2574b132a1022598edfa38065783ab98 29c7fccc6ef8cbfe4da9a169c7c74bacaea1fb515a1fddef91ab1b1522f76e4c 425bf771c8c9f740b1ae9803dcb4fd45af4d6a6f171fcc72fc7d511095ca82ce ac8eae94d27122f4751bc96d9ea52d30000b7ca37569a2291b2710824ca3396f dc4f25b2247cfdd6fc96848db30a178baa4419a4c854e86e315b465836102d14 3878dd5c8eba1e5b53ab2e07e7b5482e95a3fd3e98268bcd7861318bc9902376 9b9e0e5a1eb469b8d20dc23351e08ff5d5731e1cedce0ddee9bbd00a76217f13 57bdab2ba4b05ec0338c06632599393d5b14227f31a43fe950ea8fdd47428715 b8d247fd1fb85d24a17afeec3815906dfbcdc5359647910b4a153900ec999a0f 5e225ea2648a8cba0fd94ec7fd8ce5315f5d0cc2922bafc9db3c8c41280e917c d5cf7315186a78ab6a7475c338bdf101bc6461930aaa7a012a02cf93f347c207 dd0fc1a88180fde8367bec7086f99294f36b8332f12994293139ed532d2ebbac 5c3f190571645c4641dcff2c07a4c3ab9acad06aa9607350a385729d8d6139f1 323c3a91be60ebc3e06e942bad04899a15911cea23269e43d07829164b2ce5d4 880425fee707e9f42e0b8d60119ed639b1ad506ea29877d126bdebce379cd229 e5d2de8ae98579bfb940290f60e59a502b3065345aaf765456387989c0488b20 2e0e43776e2e1a37d882a1b2ebb7d337ee88950177e43831dae645a367824feb b5969636eec376ad6c3ece2202b1722219955638e09b6f96d4cfc0598d3b1890 1660536f448b8b9f086ce9ea3ce4e9deefc59a76711ea53ee6d8f08fc8c1bb99 ``` **CVE bị khai thác:** ```plaintext CVE-2020-22653 Ruckus CVE-2020-22658 Ruckus CVE-2023-25717 Ruckus CVE-2025-2492 ASUS AiCloud (IP 217.15.164[.]147, đầu 2026) ``` * * * *Nguồn tham khảo:* * [UAT-7810 continues building ORB networks using new malware](https://blog.talosintelligence.com/uat-7810/) — Cisco Talos (Jungsoo An, Asheer Malhotra, Vanja Svajcer, Brandon White) * [China-Linked APT Expands Arsenal With New 'Leash' Backdoors](https://www.securityweek.com/china-linked-apt-expands-arsenal-with-new-leash-backdoors/) — SecurityWeek (Ionut Arghire) * [LapDogs Is Back: Inside UAT-7810's Expanding ORB Network and Its New Servers](https://securityscorecard.com/resources/strike/lapdogs-is-back-inside-uat-7810s-expanding-orb-network-and-its-new-servers/) — SecurityScorecard STRIKE (Gilad Maizles) * [Checking all the Boxes: LapDogs, The New ORB in Town](https://securityscorecard.com/wp-content/uploads/2025/06/LapDogs-STRIKE-Report-June-2025.pdf) — SecurityScorecard STRIKE * [China's 'LapDogs' Network Thrives on Backdoored SOHO Devices](https://www.darkreading.com/threat-intelligence/china-lapdogs-network-backdoored-soho-devices) — Dark Reading * [Stealthy backdoor found hiding in SOHO devices running Linux](https://www.helpnetsecurity.com/2025/06/23/lapdogs-shortleash-backdoor-linux-soho-devices/) — Help Net Security * [Over 1,000 SOHO Devices Hacked in China-linked LapDogs Cyber Espionage Campaign](https://thehackernews.com/2025/06/over-1000-soho-devices-hacked-in-china.html) — The Hacker News * [Over 50,000 Asus Routers Hacked in 'Operation WrtHug'](https://www.securityweek.com/over-50000-asus-routers-hacked-in-operation-wrthug/) — SecurityWeek * [China-Linked Operation "WrtHug" Hijacks Thousands of ASUS Routers](https://www.infosecurity-magazine.com/news/chinal-operation-wrthug-thousands/) — Infosecurity Magazine * [UAT-5918 targets critical infrastructure in Taiwan](https://blog.talosintelligence.com/uat-5918-targets-critical-infra-in-taiwan/) — Cisco Talos