Backdoor Ted : l'attaque invisible via HAProxy cible les serveurs
- Un implant nommé Ted a été découvert intégré directement dans les binaires HAProxy de deux organisations sud-coréennes.
- Le malware intercepte le trafic web et sert des pages modifiées à des cibles spécifiques tout en restant invisible pour les outils de monitoring.
- Rapid7 attribue l'attaque avec un niveau de confiance moyen à des acteurs étatiques nord-coréens (APT).
- L'attaque ne repose pas sur une vulnérabilité de HAProxy, mais nécessite un accès préalable au système pour remplacer le binaire.
La sécurité des infrastructures réseau vient de franchir un nouveau palier de complexité avec la découverte de Ted, un toolkit Linux dont la discrétion frise la perfection technique. Contrairement aux malwares classiques qui s'installent comme des processus séparés, Ted s'insère directement dans le cœur du logiciel de répartition de charge HAProxy. Cette approche permet aux attaquants de manipuler le trafic web en temps réel tout en contournant les systèmes de surveillance les plus rigoureux.
Une intégration chirurgicale au sein du binaire
L'aspect le plus alarmant de cette menace réside dans sa méthode d'implantation. Ted n'est pas le résultat de l'exploitation d'une faille logicielle de HAProxy. Au contraire, les attaquants ont compilé le code malveillant directement dans la version 2.8.12 du logiciel utilisé par les victimes. Pour parvenir à ce résultat, les acteurs de la menace ont dû obtenir un accès initial au serveur, exécuter du code et remplacer le binaire légitime par une version trojanisée.
Une fois en place, l'implant utilise l'API de filtrage native, les pools de mémoire internes et le planificateur d'événements de HAProxy. Cette symbiose technique permet au malware de fonctionner en parallèle du trafic légitime, sans perturber le service de load balancing, rendant sa présence pratiquement indétectable pour un administrateur système effectuant des vérifications de routine.
L'art de l'invisibilité face au monitoring
La force de Ted réside dans sa capacité à effacer ses propres traces. Dans une configuration standard, chaque requête vers un serveur de commande et contrôle (C2) laisserait une empreinte dans les journaux de connexion ou les statistiques du répartiteur de charge. Ted neutralise ce mécanisme.
Lorsqu'une requête spécifique, utilisant un chemin d'image particulier, active le mode C2, l'implant décrémente manuellement les compteurs de connexions actives de HAProxy. Le résultat est sans appel : la connexion disparaît des statistiques de monitoring. Le corps de la commande est ensuite écrit dans un pipe nommé sous /tmp, et le canal de requête est remis à zéro pour qu'aucune donnée ne soit transmise au backend. L'échange ressemble alors à un trafic HTTP/1.0 200 OK tout à fait banal, trompant ainsi les outils d'analyse de flux.
Un ciblage précis et une manipulation du contenu
Ted ne s'attaque pas à tous les visiteurs. Il opère un filtrage extrêmement strict pour décider quelle page modifier ou quel script injecter. Pour qu'une requête soit interceptée, elle doit franchir quatre étapes de vérification :
Le visiteur doit posséder un User-Agent spécifique et correspondre à des règles d'URL et de referer précises. Ensuite, l'implant vérifie l'adresse IP du client, soit via une liste blanche exacte, soit au niveau du bloc /24. Enfin, une clé d'opérateur insérée dans l'en-tête Accept-Language peut outrepasser totalement le filtrage d'adresse, offrant un accès privilégié aux attaquants.
Une fois la cible validée, le malware réécrit le type de contenu et la longueur de la réponse. Il force le statut à 200 et supprime l'en-tête Accept-Ranges. Cette dernière manipulation est cruciale : elle empêche le client de demander des plages d'octets spécifiques, ce qui aurait permis de remarquer une différence de taille entre la page originale et la page modifiée.
L'écosystème d'espionnage et l'attribution
L'analyse menée par Rapid7 montre que Ted n'est qu'une pièce d'un puzzle plus vaste. Les serveurs compromis, appartenant à des entreprises des secteurs automobile et médiatique en Corée du Sud, hébergeaient également d'autres outils malveillants : un keylogger SSH, un RAT basé sur curl (curlRAT) et des versions trojanisées de processus système comme sshd, agetty et polkitd.
L'utilisation de chiffrements simples basés sur XOR et de chiffres de substitution personnalisés, combinée aux cibles géographiques, oriente les soupçons vers des groupes APT nord-coréens, notamment APT37.
Le curlRAT joue d'ailleurs un rôle de sentinelle, avec un thread dédié à la surveillance de la santé de HAProxy, signalant tout dysfonctionnement à l'infrastructure de l'attaquant pour garantir la pérennité de l'accès.
Analyse technique des capacités de l'implant
Le toolkit permet une gestion complète du serveur compromis. Via le canal caché, l'opérateur peut effectuer des actions critiques sans jamais alerter les systèmes de sécurité traditionnels. Les capacités incluent :
- Le beaconing pour maintenir la connexion avec le serveur C2.
- Le téléchargement et l'upload de fichiers arbitraires.
- L'exécution de commandes shell en temps réel.
- La modification dynamique de la configuration de l'implant.
- Le vol de cookies de session et l'interception de trafic à haute valeur ajoutée.
L'hypothèse actuelle suggère que l'accès initial aurait pu être obtenu via une vulnérabilité dans un portail de Groupware, une méthode fréquemment employée par le groupe Kimsuky. Les premières traces de l'implant sur VirusTotal remontent à la mi-2025, bien que la version de HAProxy utilisée ait été publiée fin 2024.
L'impact pour le tissu entrepreneurial français
Bien que les victimes identifiées soient sud-coréennes, la menace représentée par Ted est universelle, particulièrement pour les entreprises françaises qui s'appuient sur des architectures open-source pour leur scalabilité. La France, avec son ambition portée par le plan France 2030, pousse massivement vers la numérisation des industries et l'adoption de l'IA, ce qui accroît la surface d'attaque des infrastructures critiques.
Pour un dirigeant d'entreprise en France, cette attaque souligne une faille dans la stratégie de confiance : on suppose souvent que si le binaire d'un logiciel reconnu comme HAProxy tourne, il est sain. Or, Ted prouve que la compromission peut se situer au niveau même de l'outil de sécurité. Dans le cadre de l'AI Act et des nouvelles normes européennes de cybersécurité, la responsabilité des entreprises sur la chaîne d'approvisionnement logicielle (Software Bill of Materials - SBOM) devient capitale.
Le tissu industriel français, composé de nombreuses PME et ETI très spécialisées, est une cible privilégiée pour l'espionnage industriel. La capacité de Ted à injecter des scripts et à voler des sessions sans laisser de traces dans les logs rend les audits de sécurité classiques insuffisants. Il devient impératif de passer d'une sécurité périmétrique à une stratégie de Zero Trust, où l'intégrité des binaires est vérifiée en continu via des sommes de contrôle (hashes) et des mécanismes de surveillance comportementale, plutôt que de se fier aux statistiques de connexion fournies par le logiciel lui-même.
Questions fréquentes
HAProxy est-il vulnérable à une faille de sécurité ?
Non, Ted n'exploite pas une vulnérabilité intrinsèque de HAProxy. Il s'agit d'un binaire légitime qui a été modifié et remplacé par des attaquants ayant déjà un accès au système.
Comment Ted parvient-il à rester invisible dans les logs ?
L'implant manipule directement les compteurs de connexions de HAProxy pour supprimer les traces des requêtes C2 et utilise des en-têtes HTTP standards pour imiter un trafic web normal.
Quels secteurs sont principalement visés par cette campagne ?
Les analyses de Rapid7 indiquent que les secteurs automobile et des médias en Corée du Sud ont été les cibles principales.
Comment se protéger contre ce type d'attaque ?
Il est recommandé de surveiller l'intégrité des binaires système, d'utiliser des solutions de détection et réponse (EDR) et de limiter strictement les privilèges d'exécution sur les serveurs de load balancing.
Sources: Thehackernews, Cyberwebspider, Rapid7 ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
