Backdoor "ted" in HAProxy: il load balancer diventa spia in…

Rapid7 Labs ha scoperto un toolkit Linux che inietta il backdoor ted dentro HAProxy 2.8.12 per intercettare traffico e manovrare server edge sudcoreani nei settori

Rapid7 Labs ha pubblicato il 3 settembre 2026 l'analisi di un toolkit Linux mai documentato in precedenza, attivo contro server edge in Corea del Sud. Il cuore dell'operazione è ted, un backdoor compilato staticamente all'interno di HAProxy 2.8.12, che sfrutta le API interne del load balancer per intercettare e manipolare il traffico senza interrompere il servizio legittimo. A fianco di ted opera curlRAT, un remote access tool che mantiene la connessione con l'infrastruttura degli aggressori e gestisce il deploy di payload aggiuntivi.

I target identificati appartengono ai settori automobilistico e mediatico. Le prime tracce su VirusTotal risalgono a metà 2025, ma la data di pubblicazione dell'indagine — fissata al 2026 — solleva interrogativi sulla timeline esatta che Rapid7 stesso non chiarisce.

Punti chiave

Il backdoor ted è compilato dentro HAProxy 2.8.12-0fdb194 e usa le sue API native — filter API, memory pools, event scheduler — per nascondersi nel flusso di lavoro legittimo del load balancer.
curlRAT recupera configurazioni da server C2 via HTTPS con autenticazione token-based, esegue comandi, droppa payload e mantiene reverse shell con un intervallo di polling di default di 43.200 secondi (12 ore).
Lo stager profila il sistema per hostname, distribuzione, kernel e architettura, e installa il malware solo se rileva HAProxy o cron in esecuzione.
Persistenza e occultamento passano attraverso binari di sistema sostituiti: crond, sshd, polkitd, agetty e atd, tutti trojanizzati con la stessa cifratura personalizzata.

Come ted si annida nel cuore di HAProxy

La tecnica è quella del "ghost in the machine": non si installa un processo aggiuntivo, si diventa il processo esistente. Secondo Rapid7 Labs, "the ted backdoor is compiled as part of the victim's existing HAProxy version 2.8.12. It uses its native filter API, internal memory pools, event scheduler, and process management infrastructure to intercept traffic and hide from monitoring, while genuine load balancing traffic operates as expected". La build coinvolta, HAProxy 2.8.12-0fdb194, è stata rilasciata il 22 novembre 2024: questa è la data minima di compilazione del backdoor.

Il risultato è una minaccia pressoché invisibile ai controlli perimetrali. Il load balancer, per definizione, gestisce tutto il traffico in ingresso. Se il load balancer stesso è compromesso, la segmentazione di rete perde significato: l'aggressore vede le richieste prima che raggiungano qualsiasi altro controllo. La detection basata su firme file — hash di binari noti, YARA rules su disco — fallisce perché il binario è quello legittimo, ricompilato con funzionalità aggiuntive.

La catena di compromissione: dal portale Groupware ai binari di sistema

Rapid7 ha ricostruito parzialmente la kill chain. I server vittima espondevano porte 80 e 443 per portali Groupware, e porta 25 per mail server. L'accesso iniziale non è confermato: "the specific entry point and any associated CVE remain unconfirmed pending further forensic evidence", e "gathered evidence does not suffice to establish a timeline nor how the initial access was performed". L'ipotesi contestuale — non provata — punta a un pattern noto di Kimsuky, APT nordcoreano che ha storicamente sfruttato vulnerabilità RCE in software groupware sudcoreani.

Una volta sul sistema, l'attore sostituisce binari critici con varianti trojanizzate. Il crond compromesso riceve timestomping per allinearsi al timestamp di /usr/bin/ssh. La cifratura è personalizzata: substitution cipher per le credenziali SSH raccolte, XOR a 1 byte per le stringhe di configurazione, condivisa tra polkitd, crond, agetty e atd. La pulizia dei log è selettiva e mirata: filtra keyword come tmp, wget, cron e crond da /root/.bash_history e dai log in /var/log/, usando un file di staging in /tmp/jasper-log.

curlRAT: il telecomando con watchdog integrato

Il secondo componente, curlRAT, funge da interfaccia operativa con l'infrastruttura di comando e controllo. I domini C2 identificati sono img.darklights.store e img.monderhouse.space. La comunicazione avviene via HTTPS con autenticazione token-based. Il RAT implementa sei modalità di comando (0-5): esecuzione comandi via popen con buffer output di 1 MB, scrittura configurazione, drop di payload staged, reverse shell, e due modalità non completamente descritte nel testo troncato dell'analisi.

Un dettaglio tecnico rilevante: curlRAT mantiene un watchdog thread dedicato al monitoraggio della salute di HAProxy. Come documenta Rapid7, "the RAT maintains a watchdog thread dedicated to tracking HAProxy's health, and reporting it back to the operator's infrastructure". Questo meccanismo suggerisce che la disponibilità del servizio legittimo è un vincolo operativo per gli aggressori: un load balancer spento o instabile sarebbe rilevato, interrompendo la raccolta. La logica dello stager rafforza questa dipendenza: verifica la presenza di HAProxy o cron prima di procedere al deploy, adattando il payload al contesto rilevato.

"The earliest uploads on VirusTotal date back to mid-2025 and the involved HAProxy 2.8.12-0fdb194 was released on 22 November 2024, establishing this as the earliest possible compilation date for this build." — Rapid7 Labs

L'ombra di Kimsuky e i limiti dell'attribuzione

Il dossier di Rapid7 posiziona il toolkit nel più ampio ecosistema delle minacce nordcoreane. Kaspersky, in un report del 2023 su TTP di Lazarus e Kimsuky, ha documentato pattern affini: watering hole su portali industriali, backdooring di software legittimo, targeting di settori strategici in Corea del Sud. Tuttavia, nessuna sovrapposizione infrastrutturale confermata collega ted/curlRAT a un gruppo specifico. L'attribuzione a Kimsuky rimane contestuale, plausibile ma non dimostrata.

Il contesto storico serve a legitimare il pattern, non a identificare l'autore. L'unico dato di attribuzione tangibile nel dossier — un indirizzo IP nordcoreano esposto accidentalmente in operazioni precedenti — proviene dal report Kaspersky su Lazarus, non da questo incidente. La prudenza metodologica di Rapid7 su questo punto è esplicita e va rispettata.

Perché è importante

La fonte non specifica misure correttive specifiche né fornisce patch o workaround ufficiali. Il brief non documenta raccomandazioni operative da parte di Rapid7 per la mitigazione di ted/curlRAT. La natura del compromesso — binario legittimo ricompilato — rende inadeguata qualsiasi verifica basata esclusivamente su hash di riferimento del vendor. Il dossier non chiarisce inoltre se HAProxy 2.8.12-0fdb194 sia stato distribuito tramite repository ufficiali, repository di terze parti, o tramite compromissione diretta del processo di build nelle organizzazioni vittime.

La fonte non specifica la natura dei dati esposti o intercettati attraverso il backdoor. Non emerge quanti server siano effettivamente compromessi, né la durata delle singole intrusioni. La completezza delle modalità C2 4 e 5 è parziale a causa di un testo troncato nell'analisi originale.

La data di pubblicazione segnalata — 3 settembre 2026 — non è verificata indipendentemente e potrebbe contenere un errore di sistema o una data programmata.

Quel che resta documentato è sufficiente a segnalare un salto qualitativo nella tecnica di occultamento: quando l'infrastruttura di sicurezza perimetrale diventa essa stessa il veicolo di spionaggio, i tradizionali modelli di detection — east-west traffic analysis, endpoint monitoring, log correlation — perdono il loro punto di ancoraggio. Il traffico maligno è indistinguibile dal traffico lecito perché transita attraverso lo stesso processo, le stesse socket, gli stessi certificati TLS.

Domande che il dossier lascia aperte

Come si verifica l'integrità di un binario HAProxy compromesso?

Il dossier non fornisce indicatori di compromissione file-based affidabili: il backdoor è compilato dentro il binario legittimo. La detection richiederebbe analisi comportamentale o di rete che la fonte non dettaglia.

Qual è il vettore di initial access?

Sconosciuto. Rapid7 esplicita che CVE e punto di ingresso non sono confermati. L'esposizione di porte groupware e mail server suggerisce superfici di attacco plausibili ma non verificate.

L'attribuzione a Kimsuky è definitiva?

No. È suggerita dal contesto storico e dalla coerenza con TTP documentate, ma nessuna sovrapposizione infrastrutturale o tecnica confermata collega questo toolkit a un gruppo APT specifico.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter