Backdoor in trojanisierten HAProxy-Lastverteilern entdeckt

Sicherheitsforscher haben eine bisher unbekannte Linux-Backdoor namens ted dokumentiert, die direkt in trojanisierte HAProxy-Lastverteiler bei zwei südkoreanischen Organisationen kompiliert wurde. HAProxy ist ein weit verbreitetes Open-Source-Programm, das eingehenden Webverkehr auf mehrere Server verteilt. Die modifizierten Versionen fingen diesen Verkehr ab und lieferten ausgewählten Besuchern veränderte Seiten aus. Rapid7 Labs schrieb das Toolkit mit mittlerer Zuversicht nordkoreanischen staatlich geförderten Akteuren zu und verortete die beiden Opfer im südkoreanischen Automobil- und Mediensektor. Der Schädling ist keine Schwachstelle in HAProxy selbst: Für die Installation benötigt ein Angreifer bereits Codeausführungsrechte auf dem Host und die Fähigkeit, die laufende Binärdatei, also die kompilierte ausführbare Datei, zu ersetzen.

Die Backdoor verbirgt Command-and-Control-Verkehr, also die Kommunikation zwischen Angreifer und Schädling, vor normaler Überwachung. Wenn HAProxy eine Anfrage für einen bestimmten Bildpfad erhält, wechselt der Filter in den Fernsteuerungsmodus. Der Schädling reduziert dann HAProxy-eigene Live-Verbindungszähler, wodurch diese Verbindung aus der Statistik des Lastverteilers entfernt wird, schreibt den Befehlsinhalt in eine benannte Pipe, eine spezielle Datei zur Datenübergabe zwischen Programmen, unter /tmp und setzt den Anforderungskanal auf null, sodass nichts an einen Backend-Server weitergeleitet wird. Der Befehl endet am Lastverteiler, während die Ausgabe über den Raw-Socket mit einem Standard-HTTP/1.0-200-OK-Header zurückkehrt. Da die Antwort wie eine normale Webantwort aussieht, fügt sich der Austausch in den normalen Verkehr ein. Über diesen Kanal kann ein Betreiber Beacon-Signale senden, Dateien hoch- und herunterladen, Shell-Befehle ausführen und die Konfiguration des Schädlings ersetzen.

Nur Anfragen, die vier Prüfungen bestehen, erhalten eine veränderte Seite. Die Anfrage muss einen User-Agent-Header enthalten, also den Text, den ein Browser zur Identifikation sendet, und sie muss einer Regel entsprechen, bei der sowohl die angeforderte URL als auch der Referer, also die Seite, die auf die Anfrage verlinkt hat, bestimmten Mustern entsprechen. Die Auslieferung hängt dann entweder von einer Whitelist von Client-Adressen ab, die exakt und erneut auf /24-Ebene (einer Gruppe von 256 IP-Adressen) geprüft wird, oder von einem Betreiber-Schlüssel im Accept-Language-Header, der normalerweise dem Server mitteilt, welche Sprache der Besucher bevorzugt. Dieser Schlüssel hebt die Adressfilterung vollständig auf. Auf dem Rückweg schreibt der Schädling den Inhaltstyp und die Inhaltslänge neu, erzwingt den Antwortstatus 200 und entfernt den Accept-Ranges-Header, sodass ein Client keine Byte-Bereiche anfordern und feststellen kann, dass sich die Seitengröße geändert hat.

Rapid7 erklärte, dass die Beweise nicht ausreichten, um eine Zeitleiste zu erstellen oder zu bestimmen, wie die Angreifer zunächst eindrangen. Die Hypothese, dass sie über ein exponiertes Groupware-Portal, eine Klasse koreanischer Unternehmens-Kollaborationssoftware, eindrangen, stützt sich auf frühere ENKI-Forschung, die dokumentierte, dass Kimsuky einen Groupware-Anbieter über einen Mailserver-Fehler kompromittierte. Der Stager, also die Komponente, die den Schädling installiert, wird nur dort eingesetzt, wo HAProxy oder cron bereits läuft, und er überprüft, ob er Root-Rechte, also das Administratorkonto mit höchsten Rechten, besitzt, bevor er etwas ablegt. Er überschreibt die legitime crond-Binärdatei, den Systemdienst, der geplante Aufgaben ausführt, und gibt dem Ersatz den Erstellungszeitstempel von /usr/bin/ssh. Anschließend entfernt er die Schlüsselwörter tmp, wget, cron und crond aus der Bash-Historie von Root und aus sechs Systemprotokollen, einschließlich auth.log und audit/audit.log. Ein trojanisierter sshd, der Dienst für sichere Shell, der Remote-Anmeldungen abwickelt, verschlüsselt erbeutete Klartext-Passwörter und schreibt sie in einen festen Pfad. Rapid7 fand denselben Code in trojanisierten agetty-, atd- und polkitd-Binärdateien. Ein begleitender Remote-Access-Trojaner, den Rapid7 curlRAT nennt, sendet standardmäßig alle 12 Stunden Beacon-Signale und wechselt auf ein 30-Sekunden-Intervall, wenn der Betreiber ein Flag setzt. Er bricht ab, es sei denn, er findet eine Markierungsdatei, die anzeigt, dass der Host virtualisiert ist. curlRAT ist von CurlBack RAT zu unterscheiden, einer separaten Familie dieses Namens, die der mit Pakistan verbundenen Gruppe SideCopy zugeschrieben wird.

Der Bericht listet sechs Domains, mehrere Dateipfade und zwei SHA-256-Hashes als Indikatoren für eine Kompromittierung auf. Die Domains sind img.monderhouse[.]space, img.smartnords[.]site, img.darklights[.]store, img.responsive.pstatic[.]autos, img.socialteams[.]store und img.worksongo[.]store. The Hacker News bestätigte am 4. September, dass keine der sechs Domains aufgelöst wird und NXDOMAIN, die DNS-Antwort, die bedeutet, dass kein solcher Name existiert, sowohl für A- als auch für NS-Einträge über Google Public DNS zurückgibt. Das bedeutet, dass sie für die Überprüfung historischer Protokolle nützlich sind, nicht jedoch zum Blockieren von Live-Verkehr. Ein Teil der Zuordnung stützt sich auf eine Auflistung dieser Domains unter APT37 in maltrail, einem Open-Source-Erkennungsprojekt. Die maltrail-Datei, auf die Rapid7 verlinkt, wurde nach einer Repository-Umstrukturierung im August, die die statischen Traildaten des Projekts woandershin verschob, nicht mehr aufgelöst, aber The Hacker News bestätigte am 4. September, dass alle sechs am neuen Ort vorhanden sind, jeweils als APT37-Infrastruktur gekennzeichnet. Die maltrail-APT37-Quelldatei schreibt diese Einträge zwei Posts auf X vom Juli 2025 zu und enthält keinen Verweis auf Rapid7. Sechs weitere Domains befinden sich in denselben beiden maltrail-Einträgen, aber nicht in Rapid7s Liste: primgs[.]lol, admin.primgs[.]lol, grip-cdns[.]space, show.grip-cdns[.]space, cleanos[.]online und app.cleanos[.]online. Rapid7 hat nicht gesagt, ob es sich um dieselbe Infrastruktur handelt. Das ThreatFox-Tag, das Rapid7 als zweite Quelle für dieselben Domains nennt, verzeichnet fünf Sichtungen, alle mit Zeitstempel vom 2. Juli 2025. Einer der beiden X-Posts, auf die sich maltrail bezieht, wurde drei Stunden früher an diesem Tag veröffentlicht.

Der Abschnitt zur Zuordnung stützt sich auf drei separate nordkoreanische Cluster: APT37 für die Domainliste, Lazarus für das Verteilungsmodell und Kimsuky für die Hypothese des Erstzugriffs. Mandiants Bewertung der nordkoreanischen Cyberstruktur von 2023 dokumentierte gemeinsame Werkzeuge und überlappende Zielsetzungen zwischen diesen Clustern, und Mandiant sagte, dass dies eine präzise Zuordnung erschweren würde. Rapid7 verglich das Verteilungsmodell mit der Operation SyncHole, bei der Besucher südkoreanischer Online-Medienseiten durch ein serverseitiges Skript gefiltert und umgeleitet wurden. Kaspersky-Forscher Sojun Ryu und Vasily Berdnikov schätzten mit mittlerer Zuversicht, dass die umgeleitete Seite möglicherweise ein bösartiges Skript gegen eine Schwachstelle in Cross EX, einem südkoreanischen Browser-Helfer, ausgeführt hat. Kasperskys SyncHole-Bericht identifizierte mindestens sechs Opfer in den Bereichen Software, IT, Finanzen, Halbleiterfertigung und Telekommunikation. Beide Opfer im neuen Fall betrieben HAProxy 2.8.12, das am 8. November 2024 veröffentlicht wurde. Der Schädling liest HAProxy-interne Strukturen an Offsets, die auf diese Version festgelegt sind, und Rapid7 sagt nicht, ob andere 2.8-Builds existieren. Die aktuelle Version in diesem Zweig ist 2.8.28 vom 27. August 2026, sechzehn Punktversionen später. Der HAProxy-Tracker listet 529 bekannte Fehler auf, die 2.8.12 betreffen und im Zweig bereits behoben sind, darunter ein kritischer und sechzehn schwerwiegende. Ein Upgrade bereinigt keinen Host, auf dem der Schädling bereits sitzt, da die Angreifer die Binärdatei ersetzen und keine Schwachstelle darin ausnutzen. Rapid7 empfahl unabhängige Netzkorrelation, Speicherverhaltensanalyse und Binärintegritätsprüfungen. Der Bericht veröffentlicht keine Erkennungsregeln für diese letzte Prüfung, und ein neu kompiliertes HAProxy meldet dieselbe Versionszeichenfolge wie ein sauberer Build. Die Entwicklung kommt, während AhnLab und ENKI WhiteHat im Juli eine ähnliche Watering-Hole-Kampagne dokumentierten, bei der staatlich geförderte Betreiber kompromittierte koreanische Websites missbrauchten, um den AnySign4PC-Signaturclient anzugreifen.

Für Website-Betreiber und IT-Teams, die eigene Reverse-Proxys betreiben, ist die Erkenntnis, dass eine Maschine gesund aussehen kann, während sie ausgewählten Benutzern veränderte Seiten liefert. Für Teams, die eigene Lastverteiler betreiben, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung, die unabhängige Überprüfungen solcher Systeme unterstützen kann.