Компания Team Cymru, специализирующаяся на киберразведке, обнародовала данные об использовании замаскированных ORB-сетей (Operational Relay Box, сети оперативных ретрансляторов) в ходе масштабной кампании против сингапурских телеком-операторов. Эти сети, состоящие из скомпрометированных IoT-устройств, маршрутизаторов и виртуальных серверов, позволили государственной группе UNC3886 долгое время оставаться незамеченной, проводя целевые атаки на критическую инфраструктуру.
Описание
Управление кибербезопасности Сингапура (Cyber Security Agency, CSA) ещё в феврале 2026 года раскрыло детали операции CYBER GUARDIAN, направленной на защиту сектора связи. Расследование показало, что с июля 2025 года группа UNC3886, связанная с китайскими операциями кибершпионажа, вела спланированную кампанию против всех четырёх крупнейших операторов страны: M1, SIMBA Telecom, Singtel и StarHub. Злоумышленники использовали уязвимость нулевого дня для обхода периметрового межсетевого экрана и получили доступ к внутренним сетям. Им удалось извлечь небольшой объём технических данных, предположительно, сетевого характера, для продвижения своих оперативных целей. Сложность обнаружения UNC3886 была обусловлена применением продвинутых инструментов, включая руткиты, для уклонения от базовых систем детектирования.
Ключевой особенностью этой кампании стало активное использование ORB-сетей. Эти сети представляют собой серьёзную угрозу по нескольким причинам. Во-первых, они обеспечивают злоумышленникам уклонение и анонимность, действуя как частные резидентские прокси. Атакующий трафик маршрутизируется через узлы, которые выглядят как легитимные домашние или коммерческие широкополосные подключения, что маскирует истинное происхождение атаки. Во-вторых, ORB-узлы часто представляют собой взломанные устройства реальных пользователей, поэтому вредоносный трафик смешивается с обычным, что затрудняет его выявление. Блокировка такого IP-адреса может привести к непреднамеренному отказу в обслуживании законным абонентам. В-третьих, сеть обладает высокой устойчивостью, поскольку атакующие могут легко масштабировать её, добавляя новые скомпрометированные устройства. Кроме того, эксперты отмечают, что противники используют ORB для предварительного позиционирования у периметра цели за месяцы до самой атаки, что облегчает разведку и эксплуатацию.
Анализ Team Cymru с использованием платформы Scout выявил присутствие ORB-инфраструктуры непосредственно в Сингапуре. За последние 90 дней было обнаружено до 44 уникальных IP-адресов, помеченных как ORB и географически расположенных в стране. При этом до 12 из них находились в сетях четырёх целевых операторов. Более детальный анализ сетевых потоков (NetFlow) показал, что за последние 30 дней до 62 уникальных IP-адресов на сетях этих операторов осуществляли коммуникации с ORB-узлами. Большинство этих адресов были помечены как маршрутизаторы D-Link или Asus, что указывает на использование скомпрометированного оборудования для дома и малого офиса (SOHO) в качестве плацдарма для атак.
Интересно, что ещё в марте 2025 года аналитики Mandiant в отчёте об атаках UNC3886 на маршрутизаторы Juniper указали, что предоставленные индикаторы компрометации находились в Сингапуре, а среди целей были M1 и Starhub. Исследователи тогда также отметили, что эти IP-адреса являются промежуточными узлами ORB-сети GOBRAT. Это подтверждает, что группа давно и системно использует подобную инфраструктуру для целевых операций в регионе.
В ответ на растущие угрозы Сингапур внедрил одну из самых жёстких в мире регуляторных моделей безопасности для потребительских маршрутизаторов. В отличие от многих стран, где безопасность Wi-Fi-роутеров остаётся на усмотрении производителей, Управление по развитию инфокоммуникаций и медиа (Infocomm Media Development Authority, IMDA) Сингапура делает акцент на обязательной ответственности. Технический стандарт TS RG-SEC обязывает всех производителей резидентских шлюзов, продаваемых для местного использования, обеспечивать безопасность "из коробки". Это включает обязательную автоматическую загрузку и установку патчей безопасности. Производители должны предоставлять обновления своевременно, в зависимости от серьёзности уязвимостей, на протяжении всего гарантийного срока или до объявленного окончания жизненного цикла устройства.
Дополняет этот стандарт Схема маркировки кибербезопасности (Cybersecurity Labelling Scheme, CLS) от CSA, которая присваивает потребительским устройствам прозрачный "рейтинг гигиены". Чтобы роутер можно было продавать в Сингапуре, он должен как минимум соответствовать CLS Уровню 1. Этот уровень гарантирует соблюдение базовых международных требований: уникальные пароли по умолчанию для каждого устройства, наличие политики раскрытия уязвимостей и обязательство по постоянной поддержке программного обеспечения. Таким образом, новый аппаратный сегмент рынка оказывается лучше защищён.
Тем не менее, сохраняется значительная "проблема унаследованного оборудования". Поскольку обязательные стандарты были введены только в середине 2022 года, огромное количество старых роутеров, всё ещё находящихся в эксплуатации, не получают автоматических обновлений. Более того, регулирование распространяется только на устройства, продаваемые локально. Оборудование, импортированное пользователями напрямую из-за рубежа, может обойти эти проверки, оставляя потенциальную лазейку для таких продвинутых угроз, как UNC3886.
В конечном счёте, успешное использование ORB-сетей в атаках на телекоммуникационный сектор Сингапура подчёркивает, что защитникам необходимо эволюционировать за пределы традиционной периметровой обороны. Противодействие угрозе ORB требует смещения фокуса на обеспечение видимости внутри инфраструктуры противника, выявление скомпрометированных SOHO и IoT-устройств и внедрение продвинутой разведки угроз, подобной той, что предоставляет Team Cymru. Это необходимо для противодействия противникам, которые искусно используют предварительное позиционирование и тактики резидентских прокси для долгосрочного шпионажа и эксплуатации критически важных объектов.
Индикаторы компрометации
IPv4
- 47.82.7.142
- 8.218.127.103
- 8.218.212.173
