Uus Ted-backdoor infiltreerub HAProxy koormajagajatesse, manipuleerib veebiliiklust ja vältib logisid. Loe, mida see tähendab Balti riikide digitaalsele turvalisukule.

Küberruumi sõjamajanduses on nähtamatuse saavutamine kõige väärtuslikum oskus. Uue avastuse valguses, mille on avaldanud Rapid7 Labs, on selge, et riiklikud rünnakugrupid on liikunud lihtsatest viirusitest sügavama integratsiooni poole. Tegemist on Linuxi tööriistkõmiga, mille on nimetatud debug-stringide põhjal nimel ted. See ei ole tavaline tarkvara, mis jookseb süsteemis kõrvalse protsessina, vaid implant, mis on kompileeritud otse ohvri enda HAProxy koormajagaja (load balancer) binaarfaili sisse.

Kuidas Ted infiltreerub ja toimib

Oluline on kohe täpsustada, et Ted ei ole HAProxy tarkvara sisenev haavatavus. See tähendab, et programmatiline viga ei võimaldanu rünnaku tegemist. Selle asemel nõuab implanti paigaldamine, et ründajad oleksid juba saavutanud koodi täitmise õiguse hostmasinal ja suutnud asendada töötava binaarfaili trojaniseeritud versiooniga. See muudab rünnaku strateegia väga täpseks: esmalt sisse tungiminen ja seejärel süsteemi fundamentaalne muutmine.

Kui Ted on paigaldatud, muutub see veebiliikluse valvureks. See kasutab HAProxy native filter API-t, sisemiseid mäljavõrke ja protsesside haldust, et püüda kinni HTTP-liiklust. Rünnaku eesmärk on twofold: kõrge väärtusega liikluse logimine, sealhulgas sessiooniküpsiste varastamine, ning konkreetsete veebilehtede manipuleerimine. The Hacker News märgib, et see võimaldab ründajatele serveerida muudetud sisu vaid valitud külastajatele, jättes ülejäänud kasutajate kogemuse puutumatuks.

Nähtamatuse tehnika ja logide manipuleerimine

Teda teeb eriti ohtlikaks see, kuidas ta vältib detekteerimist. Tavaliselt jätab iga Command-and-Control (C2) päring jälje serveri logidesse või statistikas. Ted aga manipuleerib HAProxy live-ühenduste loendikut. Kui rünnaja saadab spetsiifilise pilditeekonna päringu, lülitub filter C2-režiimi ja vähendab koormajagaja ühenduste arvu, mistõttu langeb päring täiesti nähtavusest statistikas.

Käskmeid kirjutatakse nimetatud torusse (named pipe) kataloogis /tmp, ning pärast seda tühjendatakse päringukanal, et backend-serverisse ei edastaks midagi. Vastused saadakse tagasi raw-socketi kaudu standardse HTTP/1.0 200 OK päisega. See tähendab, et võrguliiklus näeb välja nagu tavaline veebiliiklus, kuid tegelikult toimub failide üles- ja allalaadimine, shell-käskude käivitamine või konfiguratsiooni uuendamine.

Sihtruum ja rünnaku arhitektuur

Rapid7i analüüsi kohaselt olid ohvriteks kaks Lõuna-Korea organisatsiooni autotööstuse ja meedia sektorist. See viitab espionage-kampaaniale, kus eesmärk on pikaajaline jälgimine ja strateegiline info kogumine. Rünnaku terviklikkus ei piirdunud vaid Ted-backdooriga. Süsteemides leiti trojaniseeritud versioone ka teistest kriitilistest binaarfailidest, nagu sshd, agetty, polkitd, crond ja atd.

Lisaks Tedile kasutati curl-põhist RAT-i (Remote Access Trojan), millel on pühendatud valvuseadme lõim (watchdog thread). See lõim jälgib HAProxy terviseolekut ja teatab sellest ründaja infrastruktuurile. See tagab, et kui koormajagaja krahhib või taaskäivitub, on ründajad sellest teadlikud ja saavad vajadusel sekkuda. Rapid7 on leidnud viiteid, et sisse tungimiseks võis kasutada Groupware-portaalide haavatavusi, mis on tüüpiline meetod Kimsuky rühma jaoks.

Kuidas ründajad sisu manipuleerivad

Sisu muutmise protsess on äärmiselt selektiivne. Ted ei muuda lehti kõigile, vaid vaid päringutele, mis läbivad neli kontrollkihti. Esiteks peab olema olemas User-Agent, teiseks peab URL ja referer vastama ettedefineeritud reeglitele. Kolmandas etapis kontrollitakse kliendi IP-aadressi (täpselt või /24 võrgutasandil) ja neljandana võib ründaja kasutada Accept-Language päises olevat võtmetsõna, mis ületab IP-filtreerimise.

Kui tingimused on täidetud, taaskirjutab implant välisevasti sisu tüübi (content type) ja pikkuse, sunnib vastuse olema 200 OK ja kustutab Accept-Ranges päise. See viimane on kriitiline, sest see takistab klienti küsida faili osi (byte ranges), mis paljestaks faili suuruse muutuse ja sega sisu.

Attribuutimine ja tehniline kontekst

Rapid7 on atribuutinud selle tööriistkoha keskmise kindlusega Põhjapresidentuuri (DPRK) riiklike ründajatele. See järeldus põhineb mitmel teguril:

Siasisendused nagu lihtne XOR-põhine krüpteerimine, kohandatud asendussifrid ja C2-serverite nimekiri, mis on seotud APT37 rühma tegevusega, viitavad tugevalt riiklikule actorile.

Analüüs viitab ka sellele, et Ted võib olla osa laiemast raamistikust, mis hõlmab sarnaseid backdoor-lahendusi ka Nginx veebiserverite jaoks. See tähendab, et ründajad on arendanud moduliseeritud süsteemi, mida saab kohandada vastavalt ohvri kasutatavale tehnoloogiastäkile. Cyberwebspider rõhutab, et selline lähenemine muudab detekteerimise äärmiselt keeruliseks, kuna malware integreerub süsteemi loomulikusse voogusse.

Mida see tähendab Eesti ja Balti riikide ettevõtetele

Kuigi Ted-kampaania sihis olid Lõuna-Korea ettevõtted, on selle tehniline oht universaalne ja eriti asjakohane Balti riikide digitaalsele ökosüsteemile. Eesti, mis on tuntud kui e-riik, sõltub massiivselt automatiseeritud võrgiteenustest ja koormajagajatest. Kui rünnakud liiguvad suunas, kus malware ei ole enam eraldi fail, vaid osa legitimate'st binaarfailist, muutuvad tavalised viirusiskannerid tõnuetud.

Kohalikes tingimustes, kus AI Act ja rangemad küberturvalisuse normid (nt NIS2) jõustuvad, peavad ettevõtted liikuma null-usaldusmudelile (Zero Trust). See tähendab, et ei tohi usaldada isegi töötavat süsteemibinaari. Integreeritud kontrollsummade (checksums) ja binaarfailide terviklikkuse kontrolli automatiseerimine on nüüd kriitiline. Balti riikide startup-ökosüsteem, mis kasutab massiivselt avatud lähtekoodi lahendusi nagu HAProxy, peab teadma, et ründajad ei otsi enam ainult haavatavusi, vaid manipuleerivad tarkvara distributsiooni ja installatsiooni.

Eesti ettevõtetele, kes haldavad kriitilist infrastruktuuri või töötlevad tundlikke andmeid, on see signaal, et monitoring peab toimuma mitte ainult logide tasandil, vaid ka süsteemitasandil. Kuna Ted kustutab logid, on ainus viis detekteerimiseks anomaalne käitumine võrguliikluses või binaarfailide hash-väärtuste muutumine. Digitaalne suveräänsus ja turvalisus Baltiumis nõuavad nüüd sügavamalt süsteemitasandil toimuvat kontrolli, et vältida riiklike ründajate nähtamatut infiltraatsiooni.

Korduma kippuvad küsimused

---

Allikad: Thehackernews, Cyberwebspider, Rapid7 ·