Red LapDogs: más de 1,000 routers SOHO comprometidos

Investigadores de seguridad han descubierto una extensa red de más de 1,000 dispositivos comprometidos pertenecientes a pequeñas oficinas y oficinas en el hogar (SOHO), utilizada como infraestructura de apoyo en campañas de ciberespionaje persistente vinculadas a grupos patrocinados por el Estado chino.

La red, denominada LapDogs, ha sido identificada por el equipo STRIKE de SecurityScorecard como una infraestructura ORB (Operational Relay Box). Este tipo de red facilita el anonimato y la resiliencia operativa de los atacantes, actuando como una capa intermedia entre los sistemas objetivo y los operadores.

Alta concentración de víctimas en EE.UU. y Asia

Según el informe técnico, LapDogs presenta una alta concentración de infecciones en Estados Unidos y el sudeste asiático, con una presencia significativa también en Japón, Corea del Sur, Hong Kong y Taiwán. Las organizaciones afectadas se extienden por sectores como:

• Tecnología de la información (TI)
• Redes y telecomunicaciones
• Bienes raíces
• Medios de comunicación

Los dispositivos comprometidos incluyen equipos de Ruckus Wireless, ASUS, Buffalo Technology, Cisco-Linksys, Cross DVR, D-Link, Microsoft, Panasonic y Synology, lo que indica un amplio espectro de infraestructura vulnerable, tanto en hardware como en software.

ShortLeash: la puerta trasera detrás de la red LapDogs

En el núcleo de esta operación se encuentra una backdoor personalizada llamada ShortLeash, diseñada específicamente para reclutar dispositivos infectados a la red ORB. Una vez implantada, esta puerta trasera instala un servidor web Nginx falso y genera un certificado TLS autofirmado con el nombre del emisor "LAPD", intentando aparentar ser el Departamento de Policía de Los Ángeles.

Este detalle fue el que inspiró el nombre "LapDogs" para la red. ShortLeash se distribuye mediante scripts de shell dirigidos principalmente a dispositivos SOHO basados en Linux, aunque también se han detectado artefactos compatibles con entornos Windows.

Vulnerabilidades explotadas: CVE-2015-1548 y CVE-2017-17663

Para comprometer los dispositivos, los atacantes utilizan vulnerabilidades conocidas (n-days), como CVE-2015-1548 y CVE-2017-17663, que permiten el acceso inicial y la instalación persistente del malware. Esto demuestra un enfoque oportunista, pero técnico, que explota routers sin parches y dispositivos IoT mal configurados.

Campañas escalonadas y operación silenciosa

La actividad de LapDogs se remonta al 6 de septiembre de 2023, con el primer ataque registrado en Taiwán. Un segundo incidente ocurrió el 19 de enero de 2024. Desde entonces, se han identificado 162 conjuntos de intrusión distintos, con cada oleada infectando un máximo de 60 dispositivos a la vez, una estrategia que favorece el sigilo y evita la detección masiva.

LapDogs vs. PolarEdge: dos redes ORB distintas

Si bien la red LapDogs muestra algunas similitudes con otra infraestructura ORB conocida como PolarEdge, analizada recientemente por Sekoia, los expertos las consideran entidades separadas debido a diferencias clave:

• LapDogs puede comprometer tanto dispositivos SOHO como servidores privados virtuales (VPS) y sistemas Windows.
• PolarEdge se caracteriza por reemplazar scripts CGI con webshells, mientras que ShortLeash de LapDogs se instala como un archivo .service con privilegios root, asegurando la persistencia tras reinicios.

Vinculación con UAT-5918 y ciberespionaje en Taiwán

SecurityScorecard ha asociado con confianza media la red LapDogs al grupo UAT-5918, un actor de amenazas con presuntos vínculos con el gobierno chino. Se ha observado que este grupo utilizó LapDogs al menos una vez durante operaciones de ciberespionaje dirigidas contra objetivos en Taiwán.

Aunque aún no está claro si UAT-5918 es el operador directo de la red o simplemente un usuario más, el patrón coincide con tácticas empleadas por otros actores respaldados por China, como documentaron anteriormente Google Mandiant, Sygnia y SentinelOne.

Redes ORB: herramientas versátiles para el espionaje digital

A diferencia de las botnets tradicionales, las infraestructuras ORB como LapDogs funcionan como navajas suizas del ciberespionaje. Pueden apoyar múltiples etapas del ciclo de vida de una intrusión, incluyendo:

• Reconocimiento pasivo
• Anonimato del operador
• Recolección de flujo de red
• Escaneo de puertos y vulnerabilidades
• Reconfiguración de nodos como servidores de prueba o C2
• Retransmisión de datos exfiltrados

Este enfoque modular convierte a redes como LapDogs en activos altamente valiosos para operaciones avanzadas de espionaje digital.

LapDogs expone un nuevo nivel de sofisticación en la infraestructura APT

La red LapDogs representa una evolución significativa en la forma en que los actores de amenazas persistentes avanzadas (APT) diseñan sus infraestructuras de apoyo. Su capacidad para operar silenciosamente, segmentar campañas por lotes, aprovechar vulnerabilidades conocidas y reclutar dispositivos SOHO poco protegidos la convierte en una amenaza compleja y difícil de erradicar.

Para las organizaciones que dependen de dispositivos de red en entornos domésticos o de pequeña oficina, esta investigación refuerza la necesidad urgente de aplicar actualizaciones de seguridad regulares, segmentar redes críticas y monitorear continuamente comportamientos anómalos en la red.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta