Ted-Backdoor in HAProxy: Neue Bedrohung für die Web-Infrastruktur
- Neue Linux-Malware namens Ted integriert sich direkt in HAProxy-Binärdateien.
- Angreifer manipulieren Web-Traffic und servieren gezielt gefälschte Seiten.
- Die Backdoor löscht eigene C2-Spuren aus den Statistiken des Loadbalancers.
- Rapid7 schreibt die Attacken mit mittlerer Konfidenz nordkoreanischen APT-Gruppen zu.
Die Sicherheit von Loadbalancern gilt oft als gegeben, da diese Komponenten primär als Verkehrspolizisten des Netzwerks fungieren. Doch eine neue Entdeckung von Rapid7 Labs zeigt, wie tiefgreifend die Kompromittierung dieser kritischen Infrastruktur sein kann. Ein bisher undokumentiertes Linux-Toolkit, intern als ted bezeichnet, wurde in trojanisierten HAProxy-Instanzen entdeckt. Die Malware ist nicht das Resultat einer klassischen Software-Schwachstelle, sondern wird direkt in den Build des Opfers kompiliert, was sie nahezu unsichtbar für herkömmliche Monitoring-Tools macht.
Die Architektur der Unsichtbarkeit
Das Besondere an der Ted-Backdoor ist ihre tiefe Integration in die bestehende Umgebung. Die Angreifer haben das Implantat so konzipiert, dass es die native Filter-API, die internen Memory-Pools sowie den Event-Scheduler von HAProxy nutzt. Während der reguläre Loadbalancing-Traffic völlig normal weitergeleitet wird, agiert die Malware im Hintergrund als parasitärer Filter. Um installiert zu werden, benötigen die Akteure jedoch bereits Code-Ausführungsrechte auf dem Host-System, um die legitime Binärdatei durch die manipulierte Version zu ersetzen.
Ein kritischer Aspekt ist die Verschleierung der Kommunikation. Command-and-Control-Anfragen (C2) erreichen niemals einen Backend-Server. Stattdessen werden sie direkt auf dem Loadbalancer abgefangen. Die Malware geht einen Schritt weiter und dekrementiert die Live-Verbindungszähler von HAProxy. Dadurch verschwinden die bösartigen Verbindungen aus den Statistiken des Loadbalancers, sodass weder Backend-Logs noch die internen Metriken von HAProxy einen Hinweis auf die Aktivität geben.
Präzise Manipulation von Web-Inhalten
Die Ted-Backdoor fungiert als intelligenter Filter, der entscheidet, welcher Besucher eine manipulierte Version einer Webseite zu sehen bekommt. Damit eine Seite verändert wird, müssen vier spezifische Prüfungen erfolgreich durchlaufen werden. Zunächst muss die Anfrage einen bestimmten User-Agent besitzen und sowohl die URL- als auch die Referer-Muster mit vordefinierten Regeln übereinstimmen. Die finale Auswahl erfolgt entweder über eine exakte Whitelist der Client-Adressen (auf Einzeladresse- oder /24-Netzebene) oder über einen speziellen Operator-Key im Accept-Language-Header, der die IP-Filterung komplett außer Kraft setzt.
Sobald ein Ziel identifiziert ist, schreibt das Implantat den Inhalt um. Es manipuliert den Content-Type und die Content-Length der ausgehenden Daten und erzwingt einen HTTP-Status 200 OK. Besonders raffiniert ist das Löschen des Accept-Ranges-Headers. Dies verhindert, dass ein Client Byte-Bereiche anfordert, wodurch eine mögliche Feststellung von Größenunterschieden zwischen der Originalseite und der manipulierten Version unterbunden wird.
Ein komplexes Ökosystem aus Trojanern
Ted agiert nicht isoliert, sondern ist Teil eines umfassenderen Frameworks. Die Analysen von Rapid7 zeigen, dass neben der HAProxy-Backdoor weitere Systemkomponenten kompromittiert wurden. Es wurden trojanisierte Versionen von Standard-Linux-Binärdateien wie sshd, crond, agetty, atd und polkitd gefunden. Ergänzt wird dieses Arsenal durch einen SSH-Keylogger und einen auf curl basierenden Remote Access Trojan (RAT), bekannt als curlRAT.
Dieser RAT übernimmt eine Überwachungsfunktion: Ein dedizierter Watchdog-Thread prüft kontinuierlich den Gesundheitszustand von HAProxy und meldet diesen an die Infrastruktur der Angreifer zurück. Die frühesten Uploads auf VirusTotal datieren aus der Mitte des Jahres 2025, wobei die betroffene HAProxy-Version 2.8.12 bereits im November 2024 veröffentlicht wurde. Dies lässt darauf schließen, dass die Angreifer sehr zeitnah nach dem Release der Software an ihren manipulierten Build gearbeitet haben.
Die Spur führt nach Nordkorea
Die Attribution solcher Angriffe ist komplex, doch Rapid7 stuft die Wahrscheinlichkeit mit mittlerer Konfidenz ein, dass staatlich gesponserte Akteure aus Nordkorea (DPRK) hinter der Kampagne stehen. Ein wesentliches Indiz ist die Zielauswahl: Betroffen waren Organisationen aus dem Automobil- und Mediensektor in Südkorea. Die Ziele deuten stark auf langfristige Spionage und Informationsbeschaffung hin.
Technische Merkmale stützen diese These ebenfalls. Die Verwendung einer einfachen XOR-basierten Verschlüsselung sowie eines benutzerdefinierten Substitutions-Ciphers sind typisch für bestimmte APT-Gruppen. Zudem wurden C2-Server identifiziert, die laut ThreatFox und maltrail bereits mit der Gruppe APT37 in Verbindung gebracht wurden. Es wird vermutet, dass der Erstzugang über Schwachstellen in Groupware-Portalen erfolgte, eine Taktik, die bereits in früheren Kampagnen der Gruppe Kimsuky beobachtet wurde. Weitere Details zu dieser Art der Infiltration finden sich auch in Berichten von The Hacker News.
Strategien zur Detektion und Abwehr
Da die Ted-Backdoor die internen Statistiken des Loadbalancers manipuliert, versagen klassische Monitoring-Tools auf Applikationsebene. Die Detektion erfordert daher tiefere Systemanalysen. Ein wichtiger Ansatz ist die Überprüfung der Integrität von Binärdateien. Da die Malware die HAProxy-Binärdatei ersetzt, können Datei-Hashes (Checksummen) Abweichungen zum offiziellen Release aufzeigen.
Zusätzlich sollten Unternehmen auf Anomalien in den Netzwerkströmen achten, die außerhalb der Loadbalancer-Statistiken sichtbar sind. Da die C2-Kommunikation als gewöhnlicher HTTP/1.0-Traffic getarnt ist, ist eine tiefe Paketinspektion (Deep Packet Inspection) notwendig, um ungewöhnliche Muster bei spezifischen Image-Pfaden zu erkennen, die den C2-Modus aktivieren. Die Dokumentation über solche Bedrohungen wird auch auf Plattformen wie Cyber Web Spider diskutiert, um die globale Sichtbarkeit dieser Bedrohung zu erhöhen.
Bedeutung für Unternehmen in Deutschland und der DACH-Region
Obwohl die aktuellen Opfer in Südkorea liegen, ist die Relevanz für den deutschen Mittelstand und die Industrie 4.0 immens. In einer Zeit, in der die Vernetzung von Produktionsanlagen (OT) und IT-Systemen zunimmt, werden Loadbalancer oft zum zentralen Knotenpunkt für den Zugriff auf interne APIs und Steuerungsinterfaces. Eine Kompromittierung auf dieser Ebene bedeutet den vollständigen Kontrollverlust über den Datenfluss.
Für deutsche Unternehmen bedeutet dies konkret:
Die Ted-Backdoor zeigt, dass Vertrauen in die Integrität von Standard-Binärdateien blind nicht mehr ausreicht. Besonders im Kontext des AI Acts und der steigenden Anforderungen an die Cybersicherheit kritischer Infrastrukturen müssen Unternehmen von einer reinen Perimeter-Sicherung zu einem Zero-Trust-Modell übergehen, bei dem auch die Integrität der installierten Software kontinuierlich validiert wird.
Im Rahmen von Industrie 4.0 könnten solche Angriffe genutzt werden, um technische Dokumentationen zu stehlen oder manipulierte Anweisungen an Maschinensteuerungen zu senden, ohne dass dies in den Systemlogs auftaucht. Der deutsche Mittelstand, der oft auf hochspezialisierte, aber teils weniger stark überwachte Linux-Infrastrukturen setzt, ist hier besonders exponiert. Die Implementierung von File Integrity Monitoring (FIM) und die strikte Trennung von Management- und Traffic-Netzwerken sind daher keine optionalen Maßnahmen mehr, sondern eine Notwendigkeit, um gegen staatlich gesteuerte APT-Kampagnen gewappnet zu sein.
Häufige Fragen
Ist HAProxy selbst durch eine Sicherheitslücke gefährdet?
Nein, die Ted-Backdoor nutzt keine Schwachstelle im Code von HAProxy aus. Sie setzt voraus, dass die Angreifer bereits Zugriff auf das System haben und die legitime Binärdatei durch eine manipulierte Version ersetzen können.
Wie erkennt man die Ted-Backdoor in einem Netzwerk?
Da sie die internen Statistiken von HAProxy manipuliert, ist sie dort unsichtbar. Die Erkennung erfolgt über die Überprüfung der Datei-Hashes der Binärdateien oder durch die Analyse von Netzwerkverkehr auf Anomalien bei spezifischen HTTP-Anfragen.
Wer sind die Hauptziele dieser Malware?
Bisher wurden Organisationen im Automobil- und Mediensektor in Südkorea identifiziert, wobei die Attacken vermutlich der Spionage dienen.
Welche anderen Systeme könnten betroffen sein?
Analysen deuten darauf hin, dass die Ted-Backdoor Teil eines größeren Frameworks sein könnte, das möglicherweise auch Backdoors für andere Webserver wie nginx umfasst.
Quellen: Thehackernews, Cyberwebspider, Rapid7 ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
