UNC3886 Cyberspionagegroep

De aan China gelinkte cyberespionage-entiteit UNC3886 richt zich actief op end-of-life MX-routers om aangepaste backdoors te implementeren. Deze campagne onderstreept hun vermogen om interne netwerkinfrastructuur te infiltreren, door backdoors met zowel actieve als passieve mogelijkheden te gebruiken. Sommige varianten bevatten zelfs ingebedde scripts die zijn ontworpen om loggingmechanismen uit te schakelen, waardoor aanvallers onopgemerkt kunnen opereren.

Een evoluerende bedreigingsgroep

UNC3886 heeft een geschiedenis van het benutten van zero-day kwetsbaarheden in Fortinet, Ivanti en VMware apparaten om netwerken te doorbreken en langdurige persistentie te creëren. Deze laatste operatie vertegenwoordigt een evolutie van hun technieken, gericht op netwerkhardware die vaak geen beveiligingsmonitoring heeft.

Sinds hun eerste gedocumenteerde activiteit in september 2022 heeft UNC3886 een hoge mate van bekwaamheid getoond in het targeten van edge-apparaten en virtualisatietechnologieën, met name gericht op de defensie-, technologie- en telecommunicatiesectoren in de VS en Azië.

Waarom routeringsapparaten?

Spionagegedreven tegenstanders zijn onlangs overgestapt op het compromitteren van routeringsapparaten. Door controle te krijgen over cruciale infrastructuur, kunnen aanvallers langdurige toegang behouden en tegelijkertijd de potentie hebben om in de toekomst verstorende activiteiten uit te voeren.

De TinyShell-verbinding: een wapen van keuze

De laatste activiteit, gedetecteerd medio 2024, betreft implantaten gebaseerd op TinyShell, een lichtgewicht C-gebaseerde backdoor die favoriet is bij Chinese hackersgroepen zoals Liminal Panda en Velvet Ant. De open-source aard van TinyShell maakt het een praktische keuze, die eenvoudig aan te passen is, maar toeschrijving compliceert.

Beveiligingsonderzoekers hebben zes verschillende backdoors op basis van TinyShell geïdentificeerd, elk met zijn eigen functionaliteit:

• appid (een slecht geplagieerde implantaat-daemon) – Biedt bestandsoverdracht, interactieve shell, SOCKS-proxy en C2-configuratiewijzigingen.
• to (TooObvious) – Vergelijkbaar met appid maar met andere hardgecodeerde C2-servers.
• irad (Internet Remote Access Daemon) – Fungeert als een passieve achterdeur door middel van packet sniffing via ICMP-pakketten.
• lmpad (Local Memory Patching Attack Daemon) – Gebruikt procesinjectie om logging te omzeilen.
• jdosd (Junos Denial of Service Daemon) – Een UDP-backdoor met mogelijkheden voor een externe shell.
• oemd (Obscure Enigmatic Malware Daemon) – Een passieve backdoor die TCP gebruikt om te communiceren met C2-servers.

De Junos OS-beveiligingen omzeilen

De aanvallers hebben methoden ontwikkeld om malware uit te voeren ondanks de Verified Exec (veriexec)-beveiligingen van Junos OS, die zijn ontworpen om ongeautoriseerde code-uitvoering te voorkomen. Door bevoorrechte toegang te verkrijgen via een terminalserver, injecteren ze kwaadaardige payloads in legitieme processen, waardoor persistentie wordt gegarandeerd terwijl detectie wordt ontweken.

Meer hulpmiddelen in het aanvalsarsenaal

Naast TinyShell-backdoors implementeert UNC3886 nog meer hulpmiddelen:

• Reptile & Medusa – Rootkits voor heimelijke persistentie.
• PITHOOK – Wordt gebruikt om SSH-authenticatie te kapen en inloggegevens te bemachtigen.
• GHOSTTOWN – Ontworpen voor anti-forensische doeleinden.

Organisaties die Juniper-apparaten gebruiken, wordt sterk aangeraden deze bij te werken naar de nieuwste firmwareversies om deze bedreigingen te beperken.

Nog een aanval, nog een bedreiging?

Interessant genoeg heeft een aparte campagne, genaamd J-Magic, zich gericht op Juniper-routers van enterprise-kwaliteit met behulp van een backdoor-variant die bekendstaat als cd00r. Deze activiteit wordt echter toegeschreven aan een andere aan China gelinkte groep, UNC4841, zonder bekende banden met UNC3886's targeting van end-of-life Juniper-routers.

Exploiteren van CVE-2025-21590 voor persistentie

Juniper Networks heeft bevestigd dat de recente infecties misbruik maakten van ten minste één kwetsbaarheid: CVE-2025-21590 (CVSS v4-score: 6,7). Deze fout, gevonden in de Junos OS-kernel, stelt aanvallers met hoge privileges in staat om willekeurige code te injecteren, wat uiteindelijk de integriteit van het apparaat in gevaar brengt.

Patches zijn uitgebracht in Junos OS-versies 21.2R3-S9, 21.4R3-S10, 22.2R3-S6, 22.4R3-S6, 23.2R2-S3, 23.4R2-S4, 24.2R1-S2, 24.2R2 en 24.4R1. Organisaties moeten ervoor zorgen dat ze deze bijgewerkte versies gebruiken.

UNC3886: Meesters in stealth en volharding

De expertise van UNC3886 in geavanceerde systeeminternals is duidelijk zichtbaar in het strategische gebruik van passieve backdoors, log-tampering en forensische ontwijking. Het primaire doel blijft persistentie op de lange termijn terwijl detectierisico's worden geminimaliseerd, wat een voortdurende en aanzienlijke cybersecurity-uitdaging vormt.