Phát hiện backdoor ted ẩn trong bản dựng HAProxy bị cài cắm
"Researchers found a previously undocumented Linux implant, dubbed ted, compiled into trojanized HAProxy builds on victims' own systems to intercept web traffic, serve altered pages, and provide C2 access without reaching backend servers or leaving normal load balancer logs. The toolkit also included trojanized binaries such as crond, sshd, agetty, atd, and polkitd, plus a companion RAT called curlRAT; no CVE was identified, and remediation centers on removing the compromised binaries and investigating host-level code execution and persistence."
Rủi ro cao do ẩn trong binary hợp lệ, né log và có thể điều khiển C2 ngay trên máy chủ biên. Cần ưu tiên forensics cấp host và kiểm tra thay thế binary.
Có thể ảnh hưởng tới dịch vụ web, tính toàn vẹn nội dung và khả năng giám sát vận hành. Việc khôi phục có thể tốn thời gian do cần xác minh toàn bộ chuỗi binary và log lịch sử.
Các nhà nghiên cứu đã phát hiện một Linux implant chưa từng được công bố trước đây, có tên ted, được biên dịch trực tiếp vào các bản dựng HAProxy bị cài cắm trên hệ thống của nạn nhân. Mã độc này có thể chặn lưu lượng web, trả về trang đã bị sửa đổi cho một số người dùng và cung cấp kênh C2 mà không cần truy cập tới backend server hay để lại dấu vết rõ ràng trong log của bộ cân bằng tải.
Theo báo cáo, kỹ thuật này không khai thác lỗ hổng HAProxy; thay vào đó, kẻ tấn công cần có code execution trên máy chủ và khả năng thay thế binary đang chạy. Rapid7 cho biết họ có mức tin cậy trung bình khi quy kết chiến dịch cho các tác nhân được cho là có liên hệ với Triều Tiên, với hai nạn nhân tại Hàn Quốc thuộc lĩnh vực ô tô và truyền thông.
Bộ công cụ còn có các binary bị trojan hóa như crond, sshd, agetty, atd và polkitd, cùng RAT đi kèm tên curlRAT. Khuyến nghị kỹ thuật là gỡ bỏ binary bị xâm nhập, kiểm tra persistence ở cấp host, rà soát dấu hiệu thực thi mã trái phép, và đối chiếu các IoC liên quan trong log lịch sử thay vì chỉ chặn tên miền hiện tại.