Un toolkit malevolo chiamato ted è stato scoperto integrato in HAProxy compromessi di aziende sudcoreane, consentendo agli attaccanti di intercettare e modificare il traffico web senza essere rilevati dai sistemi di monitoraggio tradizionali.
Il colpo di scena arriva quando due aziende sudcoreane scoprono che il loro traffico web è stato manipolato direttamente dal cuore dei loro sistemi: HAProxy, il popolare load balancer open source, era stato ricompilato con un toolkit malevolo chiamato ted. Nessun exploit di vulnerabilità, nessun attacco dall'esterno: il nemico era già dentro, annidato nel binario stesso.
La sofisticazione dell'attacco non lascia spazio a dubbi sulla sua origine: Rapid7 Labs attribuisce con ragionevole certezza l'operazione a gruppi sponsorizzati dallo Stato nordcoreano, anche se la sovrapposizione di tecniche e infrastrutture tra cluster come APT37, Lazarus e Kimsuky rende impossibile una firma univoca. Le vittime? Un'azienda automobilistica e una del settore media, entrambe con HAProxy 2.8.12 in produzione.
Come opera ted e perché è quasi invisibile
Ted non sfrutta falle di HAProxy: richiede accesso root e la sostituzione manuale del binario. Una volta installato, intercetta richieste HTTP specifiche e attiva una modalità di comando e controllo (C2) che non lascia tracce nei log né nei contatori di connessione. Il traffico malevolo viene cancellato dalle statistiche di HAProxy, mentre i comandi vengono scritti su una named pipe sotto /tmp e le risposte restituite come normali pagine HTTP 200 OK, rendendo l'attività indistinguibile dal traffico legittimo.
Solo richieste che superano quattro controlli - tra cui User-Agent, pattern di URL e referer, indirizzo IP in whitelist o chiave operatore nell'header Accept-Language - ricevono pagine modificate. Ted riscrive header come Content-Type e Content-Length, forza lo status 200 e rimuove Accept-Ranges per mascherare ogni anomalia di dimensione. L'impianto si estende anche a sshd, agetty, atd e polkitd, con password in chiaro cifrate e salvate in percorsi fissi.
Indizi tecnici e attribuzione
Rapid7 ha pubblicato indicatori di compromissione (IoC) tra cui domini come img.monderhouse[.]space e file sospetti in /var/lib/sshd e /tmp. Nessuno dei domini risulta attivo al 4 settembre, ma la loro presenza nei log storici può aiutare a ricostruire la catena di attacco. L'attribuzione si basa su una combinazione di fonti: i domini sono elencati sotto APT37 nel progetto open source maltrail, mentre il modello di delivery ricorda la campagna Operation SyncHole, già analizzata da Kaspersky e associata a Lazarus e Kimsuky.
La persistenza è garantita da uno stager che si installa solo se HAProxy o cron sono già attivi e verifica i privilegi root prima di sovrascrivere crond, camuffando il timestamp per evitare sospetti. La cronologia bash e sei log di sistema vengono ripuliti da ogni traccia di installazione. Un RAT compagno, curlRAT, si attiva solo su host virtualizzati e può passare da beaconing ogni 12 ore a intervalli di 30 secondi su comando dell'operatore.
Impatto e limiti delle contromisure
La compromissione di HAProxy non si risolve con un semplice aggiornamento: il binario infetto riporta la stessa versione di uno pulito e le 529 vulnerabilità corrette nelle release successive non hanno alcun effetto su un host già compromesso. Rapid7 raccomanda controlli di integrità binaria e analisi comportamentali in memoria, ma non fornisce regole di detection pronte all'uso. La situazione richiama quanto già visto in altri attacchi supply chain, come reported earlier su QWERTYmag, dove la manipolazione di componenti software di base ha permesso intrusioni silenziose e difficili da individuare.
La scelta di colpire HAProxy, un elemento centrale nelle infrastrutture web, dimostra una strategia di attacco mirata a massimizzare il controllo e la furtività. L'assenza di exploit e la necessità di accesso root suggeriscono una fase di compromissione iniziale molto curata, forse tramite portali Groupware esposti, come ipotizzato da Rapid7 sulla base di precedenti campagne Kimsuky. In questo scenario, la sicurezza delle supply chain software e la verifica continua dell'integrità dei binari diventano non solo raccomandazioni, ma requisiti minimi per chiunque gestisca infrastrutture critiche. Ignorare la possibilità di trojanizzazione di componenti apparentemente affidabili significa lasciare la porta aperta a intrusioni che, come nel caso di ted, possono restare invisibili per mesi e alterare il traffico senza lasciare traccia nei log.
