Analisi del toolkit Ted: come attori state-sponsored della Corea del Nord hanno compromesso HAProxy in Corea del Sud per intercettare traffico web e spiare.

L'infrastruttura di rete di un'azienda è progettata per essere il punto di transito sicuro tra l'utente e il servizio. Quando questo punto di transito diventa l'arma stessa, la visibilità della sicurezza crolla. Due organizzazioni in Corea del Sud, operanti nei settori automotive e media, hanno scoperto che i loro load balancer HAProxy non stavano solo distribuendo il traffico, ma lo stavano attivamente manipolando.

2 organizzazioni colpite nel cuore del network

L'analisi condotta da Rapid7 Labs ha rivelato l'esistenza di un toolkit Linux precedentemente sconosciuto, denominato 'ted' all'interno delle stringhe di debug del binario. Non si tratta di una vulnerabilità del software HAProxy in sé, ma di una compromissione dell'integrità del binario: gli attaccanti hanno sostituito l'eseguibile legittimo con una versione trojanizzata, compilata specificamente sulla base della versione 2.8.12.

Analisi strategica: Colpire il load balancer è una scelta tattica di altissimo livello. In una topologia di rete standard, il load balancer è l'unico punto che vede tutto il traffico in entrata prima che venga distribuito ai server backend. Compromettendo questo nodo, l'attaccante non deve più infiltrarsi in ogni singolo server web; può manipolare le risposte, rubare cookie di sessione e iniettare script malevoli in modo centralizzato, rendendo l'attacco scalabile e quasi invisibile ai sistemi di monitoraggio dei singoli server applicativi.

Il codice che cancella le proprie tracce

La caratteristica più insidiosa di 'ted' è la sua capacità di operare al di sotto della soglia di rilevamento dei log standard. Quando il backdoor riceve una richiesta di Command-and-Control (C2), l'implant decrementa i contatori di connessione live di HAProxy. Questo meccanismo provoca la rimozione della connessione dalle statistiche del load balancer.

Poiché le richieste C2 non raggiungono mai un server backend, non esiste alcuna traccia nei log di quest'ultimo. Allo stesso tempo, l'operazione di decremento impedisce che l'attività appaia nelle statistiche di HAProxy. Il risultato è un vuoto informativo: il traffico esiste, viene elaborato, ma non viene registrato da nessuno degli strumenti di monitoraggio convenzionali.

Un'immagine che attiva il comando

L'attivazione del backdoor avviene attraverso un trigger specifico: una richiesta diretta a un percorso di immagine particolare. Quando il filtro di HAProxy intercetta questa richiesta, l'implant entra in modalità C2. Il corpo del comando viene scritto in una named pipe situata sotto la directory /tmp, mentre il canale di richiesta viene azzerato per evitare che qualsiasi dato venga inoltrato al backend.

La risposta all'operatore viene restituita tramite il socket raw utilizzando un header standard HTTP/1.0 200 OK. Questa scelta tecnica è fondamentale per l'offuscamento: per un analista di rete o un sistema IDS, lo scambio appare come un normale traffico web di successo, nascondendo l'esecuzione di shell commands, l'upload o il download di file e la modifica della configurazione dell'implant.

L'architettura invisibile di Ted

Dietro le quinte, 'ted' non è un semplice modulo esterno, ma è profondamente integrato nell'ecosistema della vittima. L'implant sfrutta l'API dei filtri nativi di HAProxy, i pool di memoria interni, l'event scheduler e l'infrastruttura di gestione dei processi. Questa integrazione permette al traffico legittimo di continuare a fluire senza interruzioni, mentre il backdoor opera in parallelo.

L'operazione non si limita al load balancer. Rapid7 ha identificato un'architettura di persistenza che include versioni trojanizzate di processi critici di sistema come agetty, polkitd e crond. Un elemento chiave è il RAT basato su curl, che mantiene un thread di watchdog dedicato esclusivamente al monitoraggio della salute di HAProxy, segnalando all'infrastruttura dell'operatore se il servizio è attivo o se è stato riavviato, garantendo così la continuità del controllo remoto.

Quattro filtri per l'utente perfetto

Gli attaccanti non hanno servito pagine alterate a tutti i visitatori, evitando così di attirare l'attenzione di ricercatori di sicurezza o utenti casuali. L'iniezione di contenuti malevoli avveniva solo se la richiesta superava quattro controlli rigorosi:

• Presenza di un User-Agent specifico.
• Corrispondenza di una regola basata su pattern di URL e referer.
• Appartenenza dell'indirizzo IP del client a una whitelist (verificata sia come indirizzo esatto che a livello di sottorete /24).
• In alternativa ai controlli IP, la presenza di una chiave specifica dell'operatore nell'header Accept-Language, che permetteva di bypassare completamente il filtraggio dell'indirizzo.

Una volta superati questi filtri, l'implant riscriveva il content-type e la lunghezza del contenuto in uscita, forzava lo stato della risposta a 200 e cancellava l'header Accept-Ranges. Quest'ultima operazione è cruciale: impedendo al client di richiedere intervalli di byte, l'attaccante evita che l'utente o un software di analisi notino una discrepanza nella dimensione del file rispetto all'originale.

L'ecosistema di trojan tra sshd e curlRAT

L'operazione mostra una complessità che suggerisce una pianificazione a lungo termine. Sebbene Rapid7 non abbia stabilito una timeline definitiva, i dati di VirusTotal indicano caricamenti a partire da metà 2025, con una data di compilazione possibile legata al rilascio di HAProxy 2.8.12 il 22 novembre 2024.

L'ecosistema di malware identificato segue questa progressione di funzionalità:

1. Accesso Iniziale: Ipotesi di sfruttamento di vulnerabilità in portali Groupware (metodo tipico di Kimsuky).
2. Persistenza di Sistema: Installazione di versioni trojanizzate di sshd (con keylogger integrato), crond, agetty e polkitd.
3. Controllo Infrastrutturale: Implementazione del backdoor 'ted' all'interno di HAProxy per l'intercettazione del traffico.
4. Monitoraggio e C2: Utilizzo di un curl-based RAT per l'esecuzione di comandi e il monitoraggio dello stato del sistema.

L'impronta digitale della Corea del Nord

L'attribuzione del toolkit a gruppi APT della Corea del Nord (DPRK) è stata effettuata con media confidenza. Diversi indicatori portano a questa conclusione. Innanzitutto, i target sono esclusivamente settori strategici della Corea del Sud (automotive e media), obiettivi classici per l'espionaggio a lungo termine.

Dal punto di vista tecnico, l'uso di crittografia semplice basata su XOR e di un cifrario a sostituzione personalizzato è coerente con le metodologie osservate in precedenti campagne DPRK. Inoltre, i server di Command-and-Control (C2) hardcoded nel malware sono associati al gruppo APT37 secondo i database di ThreatFox e maltrail. Rapid7 suggerisce che 'ted' possa essere parte di un framework più ampio che potrebbe includere backdoor simili per altri server web, come nginx.

La vulnerabilità dei load balancer tra NIS2 e la resilienza infrastrutturale UE

Il caso 'ted' evidenzia un rischio sistemico per le imprese europee: la fiducia cieca nei binari di sistema. Se un attaccante ottiene l'esecuzione di codice (RCE) e i privilegi di root, può trasformare l'infrastruttura di rete in un sistema di sorveglianza invisibile. Per le aziende italiane, questo scenario si inserisce nel contesto della direttiva NIS2, che impone standard più rigorosi sulla sicurezza della supply chain e sulla gestione dei rischi.

Analisi di resilienza: La capacità di 'ted' di nascondersi nei contatori di connessione rende inefficace il monitoraggio basato solo sulle metriche di performance. Le imprese devono evolvere verso l'integrità dei file (File Integrity Monitoring - FIM) e l'analisi comportamentale del traffico. Se un load balancer inizia a comunicare con IP esterni non censiti o a modificare header HTTP in modo anomalo, l'allarme deve scattare indipendentemente dai log di sistema.

Per l'UE, l'implicazione è chiara: la resilienza non si misura più solo nella capacità di respingere l'attacco, ma nella capacità di rilevare un'intrusione che ha già compromesso i binari di base. L'adozione di architetture Zero Trust, dove anche il traffico interno tra load balancer e backend è ispezionato e autenticato, diventa l'unica difesa efficace contro implant di questo tipo.

Indicatori di scenario futuro:
1. Rilevamento di moduli simili in nginx: se emergessero campioni di backdoor integrate in nginx con logiche di filtraggio identiche a 'ted', sarebbe la conferma dell'esistenza di un framework modulare DPRK per l'intercettazione web.
2. Aumento di attacchi a portali Groupware in UE: un incremento di intrusioni tramite software di collaborazione aziendale (simili a quelli usati da Kimsuky) indicherebbe uno spostamento del target verso l'Europa.
3. Integrazione di FIM nei requisiti NIS2: l'inserimento esplicito del monitoraggio dell'integrità dei binari come requisito di conformità per i fornitori di servizi essenziali.

Domande frequenti

---

Fonti: Thehackernews, Cyberwebspider, Rapid7 ·