Un routeur oublié dans un placard reste une porte d’entrée, et certains savent parfaitement s’en servir. Un groupe suivi sous le nom d’UAT-7810, rattaché à la Chine, fait évoluer son arsenal pour étendre son réseau de relais opérationnels (Operational Relay Box, ou ORB) en compromettant des équipements réseau exposés sur Internet. Cible privilégiée : les routeurs Ruckus laissés sans correctif.
Points clés
- Le groupe UAT-7810, rattaché à la Chine, développe le maliciel LONGLEASH
- Cible : les routeurs Ruckus exposés sur Internet et laissés sans correctif
- Objectif : étendre un réseau de relais opérationnels (ORB) pour masquer l’origine des attaques
- Les équipements compromis servent à rendre l’attribution des opérations quasi impossible
Un maliciel taillé pour se fondre dans le décor
Le nouvel outil, baptisé LONGLEASH, sert à prendre pied durablement sur des équipements réseau accessibles depuis l’extérieur. Une fois installé sur un routeur vulnérable, il transforme la machine en maillon d’une infrastructure destinée à masquer l’origine réelle des opérations du groupe.
Les ORB sont devenus l’arme discrète par excellence des acteurs étatiques. Plutôt que d’attaquer depuis leurs propres serveurs, les opérateurs font transiter leur trafic par une nuée d’appareils compromis appartenant à des tiers. Résultat : le trafic malveillant se noie dans un maillage d’adresses IP banales, et l’attribution devient un casse-tête.
Les routeurs non patchés, éternel talon d’Achille
Le vecteur d’entrée n’a rien d’exotique : des routeurs Ruckus qui n’ont jamais reçu leurs correctifs de sécurité. Un équipement réseau exposé et laissé en l’état, c’est une invitation ouverte. Les groupes comme UAT-7810 ne s’embarrassent pas de zero-day sophistiqués quand une faille connue et publiée fait déjà l’affaire.
La parade tient en quelques gestes d’hygiène numérique. Appliquer les mises à jour dès leur publication, retirer d’Internet toute interface d’administration qui n’a rien à y faire, et remplacer le matériel en fin de support. Un routeur qui ne reçoit plus de patchs ne protège plus personne. Il travaille désormais pour quelqu’un d’autre.
