Gli ORB diventano infrastruttura condivisa per spionaggio
La novità non è un altro backdoor. È che router compromessi vengono trasformati in una capacità di relay riutilizzabile, così il traffico dei successivi attacchi perde origine visibile e si confonde con rumore Internet ordinario. Quando una rete edge diventa un servizio, il problema non è più il singolo dispositivo infetto ma la copertura che offre ad altri attori.
Cisco Talos attribuisce a UAT-7810 l'espansione di LapDogs con LONGLEASH, DOGLEASH e JARLEASH, oltre a test multi-architettura su MIPS, ARM e x64 per allargare la capacità ORB. Il gruppo continua a colpire router Ruckus esposti con CVE-2020-22653, CVE-2020-22658 e CVE-2023-25717, e ha esteso l'attività anche ad ASUS AiCloud con CVE-2025-2492; UAT-5918 risulta tra gli attori che avrebbero già usato questa infrastruttura.
Per chi difende reti esposte su Internet, il punto non è solo bloccare il router inizialmente violato. Una volta inserito nell'ORB, quel nodo può diventare un relay e uno staging point riutilizzabile per altre campagne di spionaggio, rendendo fragile ogni controllo basato solo su source IP o geolocalizzazione.