🔍 Contexte

Publié le 7 juillet 2026 par Cisco Talos (chercheurs Jungsoo An, Asheer Malhotra, Vanja Svajcer, Brandon White), cet article présente les dernières découvertes sur UAT-7810, un acteur APT China-nexus initialement divulgué par SecurityScorecard en 2025, spécialisé dans la construction et la prolifération de réseaux Operational Relay Box (ORB).

🎯 Objectifs et attribution

UAT-7810 est évalué avec haute confiance comme un acteur China-nexus, chargé d’établir des réseaux ORB exploitables par des acteurs secondaires tels que UAT-5918. Des chevauchements d’outillage ont été documentés entre UAT-5918 et UAT-7810, bien que Talos les considère comme deux entités distinctes. La configuration de JARLEASH contient des commentaires en chinois simplifié, renforçant l’attribution.

🦠 Nouveaux malwares découverts

  • LONGLEASH : Nouvelle version de SHORTLEASH, nommée en interne “ff-agent” et “nz1.0”. Compilée pour MIPS avec Boost.Asio. Capacités : reverse shell, proxies (HTTP, DNS, SOCKS, TCP, ICMP, UDP), redirection de paquets, serveur/client SMTP, gestion TLS/PKI, auto-destruction en cas de détection. User-Agent masqué : Chrome 122.
  • DOGLEASH : Backdoor passif en C pour Linux, écoute sur un port TCP hardcodé, exécute du shellcode arbitraire, lit des fichiers, renomme des fichiers, récupère des infos OS.
  • JARLEASH : Backdoor JAR (Java), déployé sur l’infrastructure attaquante et sur des systèmes compromis. Capacités : interface web de gestion de fichiers, serveurs FTP/SFTP, serveur Netcat.
  • LEASHTEST : Binaire ELF de test (non malveillant en soi), nommé “iot-test”, utilisé pour valider des fonctionnalités sur des équipements MIPS/IoT.

🌐 Infrastructure

Quatre nouveaux serveurs identifiés hébergeant des variantes de DOGLEASH pour MIPS, ARM et x64 :

  • 194.233.92.26
  • 217.15.160.247
  • 217.15.164.147
  • 95.182.100.231 (Hong Kong)

Deux IPs hébergent un serveur TLS sur le port 99 avec le certificat fingerprint c2ab9adaba93ff094b8f3fc37d906014d870582039d276b7bd03e6fd583d8a15 et un subject DN entièrement valorisé “exploit”.

217.15.164.147 a également été utilisée pour exploiter CVE-2025-2492 (ASUS AiCloud Routers) début 2026.

🔓 Vulnérabilités exploitées

UAT-7810 cible principalement des routeurs Ruckus non patchés via :

  • CVE-2020-22653
  • CVE-2020-22658
  • CVE-2023-25717
  • CVE-2025-2492 (ASUS AiCloud)

📋 Type d’article

Il s’agit d’une analyse technique approfondie publiée par Cisco Talos, visant à documenter l’évolution de l’arsenal d’UAT-7810, partager des IOCs exploitables et fournir des signatures de détection (Snort, ClamAV).

🧠 TTPs et IOCs détectés

Acteurs de menace

  • UAT-7810 (state-sponsored) —
  • UAT-5918 (state-sponsored) — orkl.eu · Malpedia

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1095 — Non-Application Layer Protocol (Command and Control)
  • T1070 — Indicator Removal (Defense Evasion)
  • T1106 — Native API (Execution)
  • T1055 — Process Injection (Defense Evasion)
  • T1571 — Non-Standard Port (Command and Control)

IOC

  • IPv4 : 194.233.92.26AbuseIPDB · VT · ThreatFox
  • IPv4 : 217.15.160.247AbuseIPDB · VT · ThreatFox
  • IPv4 : 217.15.164.147AbuseIPDB · VT · ThreatFox
  • IPv4 : 95.182.100.231AbuseIPDB · VT · ThreatFox
  • URLs : http://217.15.160.247:8088/URLhaus
  • URLs : http://217.15.160.247:2222/URLhaus
  • URLs : http://217.15.160.247:99/URLhaus
  • URLs : http://194.233.92.26:8088/URLhaus
  • URLs : http://194.233.92.26:2222/URLhaus
  • URLs : http://217.15.164.147:99/URLhaus
  • URLs : http://217.15.164.147:8088/URLhaus
  • URLs : http://217.15.164.147:2222/URLhaus
  • URLs : http://95.182.100.231:2222/URLhaus
  • SHA256 : 1b5649b479fd625de5c8120873644b5eb669cc89cd504582c18e0ae350fd8823VT · MalwareBazaar
  • SHA256 : 755fcee1337a252203002ecfdf673a08cfadeda8d738bef2d518a08e0626aa4fVT · MalwareBazaar
  • SHA256 : e799d72929d7ccc7f6b6109742b8cc482838303207efc989543b6e1ca6d16e9cVT · MalwareBazaar
  • SHA256 : 3b89d183eb014e29d9d0d4e45fc2b784a7fcfcf31dd48fd3bde30f8d956383d1VT · MalwareBazaar
  • SHA256 : 324d95024fc8da5c92b5a1f4825aed5a2a91c9ca8fb6aa52abb332a4c9cf4257VT · MalwareBazaar
  • SHA256 : bafba443170e54ef7fd431ce7f1b5e202719f3fd022e4ef70788904f574d2cdfVT · MalwareBazaar
  • SHA256 : 604b53f87d6c070bf387e80c70a6df8d272fa3fc143148d41f13e59d52ab1f13VT · MalwareBazaar
  • SHA256 : c92541f273eeb576d39235d0a5c6f18f2574b132a1022598edfa38065783ab98VT · MalwareBazaar
  • SHA256 : 29c7fccc6ef8cbfe4da9a169c7c74bacaea1fb515a1fddef91ab1b1522f76e4cVT · MalwareBazaar
  • SHA256 : 425bf771c8c9f740b1ae9803dcb4fd45af4d6a6f171fcc72fc7d511095ca82ceVT · MalwareBazaar
  • SHA256 : ac8eae94d27122f4751bc96d9ea52d30000b7ca37569a2291b2710824ca3396fVT · MalwareBazaar
  • SHA256 : dc4f25b2247cfdd6fc96848db30a178baa4419a4c854e86e315b465836102d14VT · MalwareBazaar
  • SHA256 : 3878dd5c8eba1e5b53ab2e07e7b5482e95a3fd3e98268bcd7861318bc9902376VT · MalwareBazaar
  • SHA256 : 9b9e0e5a1eb469b8d20dc23351e08ff5d5731e1cedce0ddee9bbd00a76217f13VT · MalwareBazaar
  • SHA256 : 57bdab2ba4b05ec0338c06632599393d5b14227f31a43fe950ea8fdd47428715VT · MalwareBazaar
  • SHA256 : b8d247fd1fb85d24a17afeec3815906dfbcdc5359647910b4a153900ec999a0fVT · MalwareBazaar
  • SHA256 : 5e225ea2648a8cba0fd94ec7fd8ce5315f5d0cc2922bafc9db3c8c41280e917cVT · MalwareBazaar
  • SHA256 : d5cf7315186a78ab6a7475c338bdf101bc6461930aaa7a012a02cf93f347c207VT · MalwareBazaar
  • SHA256 : dd0fc1a88180fde8367bec7086f99294f36b8332f12994293139ed532d2ebbacVT · MalwareBazaar
  • SHA256 : 5c3f190571645c4641dcff2c07a4c3ab9acad06aa9607350a385729d8d6139f1VT · MalwareBazaar
  • SHA256 : 323c3a91be60ebc3e06e942bad04899a15911cea23269e43d07829164b2ce5d4VT · MalwareBazaar
  • SHA256 : 880425fee707e9f42e0b8d60119ed639b1ad506ea29877d126bdebce379cd229VT · MalwareBazaar
  • SHA256 : e5d2de8ae98579bfb940290f60e59a502b3065345aaf765456387989c0488b20VT · MalwareBazaar
  • SHA256 : 2e0e43776e2e1a37d882a1b2ebb7d337ee88950177e43831dae645a367824febVT · MalwareBazaar
  • SHA256 : b5969636eec376ad6c3ece2202b1722219955638e09b6f96d4cfc0598d3b1890VT · MalwareBazaar
  • SHA256 : 1660536f448b8b9f086ce9ea3ce4e9deefc59a76711ea53ee6d8f08fc8c1bb99VT · MalwareBazaar
  • SHA256 : 65feba2c971c214e71303ad2e0fbf62b45ebcaa784cbf3d0dab62786cb4c0469VT · MalwareBazaar
  • SHA256 : 53ac2b231c23d41234e55b1f7ed89f86234f785adbbe820959655d7b019d7df9VT · MalwareBazaar
  • SHA256 : 33c10b77e1da9f0679023d55fb3057879d15609db9c1d46ee5c3ff1240a3d052VT · MalwareBazaar
  • SHA256 : 5faea1650cac0f3ffd2dc1fb220182095a46e34158967d37c2a942e85e2ca97bVT · MalwareBazaar
  • SHA256 : 62d4ec87ed21f0d15cb769b0b2a5577cab41fc2cdb1e7e796c5bdff09264dd9aVT · MalwareBazaar
  • SHA256 : 534a4a5bff2609a2d6e088cb87465c08c2d69c6aaa7d2ffcbcd491274b8505f1VT · MalwareBazaar
  • SHA256 : 5eab4c61baa67ae2838a36c2e6ff0476a8f2117b96a7027b830c8cb46ce78efcVT · MalwareBazaar
  • SHA256 : 0af4c52a1d13e4132a1843ce7727abcf0ddd4d1ca6a4b17cdf599ec3f355c241VT · MalwareBazaar
  • SHA256 : d4861088161fc72b9922abf933b4ea664a807105ec1eab4a173253aa60bfe6d7VT · MalwareBazaar
  • SHA256 : 3d296af7f29c0425655bd1cc0be48fe4aba52ee6760a89e805ca2589f4ef4d77VT · MalwareBazaar
  • SHA256 : f235d2e044c2f7814e6bbcd835b9fd9f10f227dacfb9396185ec2013e7df4db4VT · MalwareBazaar
  • SHA256 : 4130f49fa81a699a667cafdbd6d1f6e781edd686c947eb8ae27134f6dc2c43d7VT · MalwareBazaar
  • SHA256 : 0a8555a71868749be8c905ed53296ce335af50a9262772b5e154ad3f9c35c2e4VT · MalwareBazaar
  • SHA256 : 5dbfa033676b5caacfae902734ce462cd871181eefbe299250ca8ac7e139719eVT · MalwareBazaar
  • SHA256 : 20fcba222f74dd68aaeb1f0ad30cdf702a828ee164a182b30d05d600c35b72d9VT · MalwareBazaar
  • SHA256 : 912adea5339c73cb4a777a3e9f98bf3cb08da6622c9dd3b4cc9b083cb03d10a2VT · MalwareBazaar
  • SHA256 : 03926e3da998f32ad898b640bd15cf145768f9e849e6f18d81350234254c424eVT · MalwareBazaar
  • SHA256 : 16971f9706d70ac4925651c7c8719b9d77aff63e4c0a618129efc32c2c46b989VT · MalwareBazaar
  • SHA256 : 6917c0f9eafefe42e33e791b75a7e503ff8b081bc10a98449e4076787dfc6c16VT · MalwareBazaar
  • SHA256 : c7c9bfa9ffcd8fb6a2afe656f510c406ddc58ebff48ce1d0fd3fad951b46a36eVT · MalwareBazaar
  • SHA256 : b9fe48bda9a6c8787981a24f8bbc723a6f6aa80cab5fa53481937382f3c6ce85VT · MalwareBazaar
  • SHA256 : f3fbf4481f30fd840f35568746f54be49eb92b2c9ac95597a7760abb171cb54bVT · MalwareBazaar
  • SHA256 : 6366d59b573d50fd23ff650923c4a8c1c918518a02d0a56f12c23533c45f439dVT · MalwareBazaar
  • SHA256 : 3fcaa3038e365b6ab0b121e2cd319c56b74e37381943a0da0e8dce407087cdb8VT · MalwareBazaar
  • SHA256 : bf70c6f3a8e913f526ec57eeec50e1306f7b34b037915b7a1cf2968cc46acc58VT · MalwareBazaar
  • SHA256 : 0352f3e338261d98895df4c7b7a76b296485b2290c72bce56603351d167d0601VT · MalwareBazaar
  • SHA256 : 52b871429833e1dee348263844efb531f6a3fcd321f88dc8a876caaee912ceddVT · MalwareBazaar
  • SHA256 : 5db2ce9acd50f96d566e8d139f6490abf2bbf7a9293b876eeb4598fd2c37c515VT · MalwareBazaar
  • SHA256 : 3169a6dbcce684e2c5a2f166996b58ffa673df6e58b8edf2bdf3e66271c8c69eVT · MalwareBazaar
  • SHA256 : d871d76171504597bbda387689e12e7a5e354c360ff135f4df231cec68c761afVT · MalwareBazaar
  • SHA256 : d1f963b88672f3676a7da1580262ba0d4f367cc57a94b551754c20f77a670c43VT · MalwareBazaar
  • SHA256 : 76d9e2a2ff313f5b91cc67aab1127122baee1c3efbae1087e58a25bc5f1eb065VT · MalwareBazaar
  • SHA256 : 8c104da0e66ef6384663309aaf8fb49f549f2785d835eec620b265f8aa11d9f0VT · MalwareBazaar
  • SHA256 : c494c878e28284539419612616d964ab9224cbe27e57f42293d91d02d684e3dbVT · MalwareBazaar
  • SHA256 : 08701ed7975bf4f5688c2724d27ab497764200ad6f4dc53d3cc03b170378ced0VT · MalwareBazaar
  • SHA256 : 0a8cae96e25e85c612b0736fe886f9b124ad70ec425bc2ec1a8a4135b25436baVT · MalwareBazaar
  • SHA256 : 8459ff264a2c81c68a34c4ee6bc109d141ad28b96037d34ff112322a4c853739VT · MalwareBazaar
  • SHA256 : 68445a37a9943a267a8b2100fba2678353d6ec88844505ccbba659e586c7a105VT · MalwareBazaar
  • SHA256 : 29686c933cec1e274467e2dae264625ae6f754824bb7f550bc9c3131f625562cVT · MalwareBazaar
  • SHA256 : d973ad5a80c3d7468a9c392db4166857ed32b5d61cd6755766ba8922156dada3VT · MalwareBazaar
  • SHA256 : f5a57dfae488d9dfe260b32460a1d947fb5af58ceaf2fb0139bc08b4bb79a966VT · MalwareBazaar
  • SHA256 : 2ebc1b6cf543e2cb3f22d9a5b54b6676bb71dde98df7532f8791297734e44fddVT · MalwareBazaar
  • SHA256 : 6dbd507ca7cecea861f9cf704b3c5c37f5bd5392886a8c2562088892b7703fa5VT · MalwareBazaar
  • SHA256 : 89f0a67bc595ab8bce02c2f95f9292ad06e1868207e809c76bd16f0cab800c06VT · MalwareBazaar
  • SHA256 : d81201d0fc19977e51104438a5b9cba861f4da20cea3ae9183edf16ab11d98f8VT · MalwareBazaar
  • SHA256 : 9d52cb4febf3342c34dcc8198dcaf453458be3699ab47dc08616aa7f18daa7faVT · MalwareBazaar
  • SHA256 : 9a927c37a31b80975c5c5467f112b61478c9493c046281046443525358a5acb0VT · MalwareBazaar
  • SHA256 : 6cda1e81667f869940401f05a55c8dea94dbdf3ceffb93b5f320a6462cfea44dVT · MalwareBazaar
  • SHA256 : 745538dea8ed9aec4466e67a9d0aecf9e7026ff16a792d1d6f306e8b67d3f34cVT · MalwareBazaar
  • SHA256 : 13acadb3541e75af50e02d5be56c2238b93d8f154ce5514be1558e6ee59a1432VT · MalwareBazaar
  • CVEs : CVE-2020-22653NVD · CIRCL
  • CVEs : CVE-2020-22658NVD · CIRCL
  • CVEs : CVE-2023-25717NVD · CIRCL
  • CVEs : CVE-2025-2492NVD · CIRCL

Malware / Outils

  • LONGLEASH (backdoor)
  • SHORTLEASH (backdoor)
  • DOGLEASH (backdoor)
  • JARLEASH (backdoor)
  • LEASHTEST (tool)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ blog.talosintelligence.com — source reconnue (liste interne) (20pts)
  • ✅ 17490 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 93 IOCs dont des hashes (15pts)
  • ✅ 4/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UAT-7810, UAT-5918 (5pts)
  • ⬜ 0/4 CVE(s) confirmée(s) (0pts)

IOCs confirmés externellement :

  • 194.233.92.26 (ip) → VT (14/91 détections)
  • 217.15.160.247 (ip) → VT (10/91 détections)
  • 217.15.164.147 (ip) → VT (15/91 détections)
  • 755fcee1337a2522… (sha256) → VT (30/75 détections)

🔗 Source originale : https://blog.talosintelligence.com/uat-7810/