HAProxy diventa trojan: l'APT nordcoreano che arma il load balancer

Rapid7 Labs ha pubblicato il 3 settembre 2026 l'analisi di un toolkit Linux inedito, denominato ted backdoor e curlRAT, impiegato in campagne di cyber-spionaggio contro settori automotive e media della Corea del Sud. I campioni più antichi risalgono a metà 2025; la compilazione si appoggia su HAProxy 2.8.12-0fdb194, rilasciato il 22 novembre 2024. L'integrazione a livello sorgente nel codice del load balancer edge rappresenta un'evoluzione significativa nel modus operandi: l'infrastruttura di transito del traffico diventa essa stessa il punto di compromissione, non più solo il bersaglio finale.

Come il load balancer è diventato il watering hole

La scelta di trojanizzare HAProxy piuttosto che installare un componente aggiuntivo rivela una progettazione orientata alla longevità e all'invisibilità. Il ted backdoor non si limita a caricarsi nel processo: è compilato come parte del binario stesso, ereditando la struttura di gestione della memoria e dello scheduling del programma ospite. Questo consente di intercettare il traffico in transito senza generare anomalie di processo o connessioni sospette che un EDR tipicamente segnalerebbe.

Le vittime analizzate da Rapid7 esponevano porte 80, 443 (portale Groupware) e 25 (mail server). L'accesso iniziale non è confermato; la fonte ritiene plausibile l'exploitation di vulnerabilità RCE in server mail, coerente con tradecraft documentato di Kimsuky, o nel portale Groupware. La mancanza di evidenza forense sufficiente impedisce di stabilire una timeline completa o di identificare una CVE specifica.

Architettura del toolkit: stager, RAT e keylogger

La catena di compromissione si articola in più stadi. Lo stager iniziale verifica i privilegi root, raccoglie informazioni sul sistema e seleziona il payload appropriato. Il meccanismo di profilazione copre hostname, distribuzione del sistema operativo, versione del kernel e architettura della CPU. Il supporto esplicito per CentOS 7.7, 7.8, 7.9 e Ubuntu 22.04 indica un targeting di infrastrutture enterprise consolidate, non di ambienti cloud-native o containerizzati.

La persistenza si ottiene sovrascrivendo binari di sistema legittimi — crond, sshd, agetty, atd, polkitd — con versioni trojanizzate. Il timestomping allinea il timestamp del binario compromesso a quello di /usr/bin/ssh, rendendo inefficaci i controlli di integrità basati su anomalie temporali. La cancellazione selettiva di log completa l'occultamento.

Il curlRAT implementa sei comandi C2 (0-5) gestiti tramite jump table: esecuzione di comandi, scrittura configurazione, drop di payload aggiuntivi, reverse shell e altre funzioni operative. Il canale di comando e controllo si appoggia su due domini: img.monderhouse.space (primario) e img.darklights.store (fallback). L'autenticazione avviene tramite api_token con valore ecd427ea8330a4ff73618483e00b9b41 e header User-token contenente l'identificativo della vittima. Il retry loop prevede cinque tentativi con intervalli di cinque secondi; il buffer per l'output dei comandi è dimensionato a 1 MB.

Il problema della detection su binari timestomping

L'integrità dei binari di sistema rappresenta il punto debole esposto da questa campagna. Quando il compromesso avviene a livello di file eseguibile con allineamento temporale deliberato, gli indicatori di compromissione tradizionali — hash noti, anomalie di timestamp, processi figli insoliti — perdono efficacia. Il binario crond compromesso non genera processi estranei: è crond stesso a eseguire codice malevolo.

Il keylogger SSH aggiunge un livello di raccolta credenziali, salvando le informazioni in /var/lib/sshd/c8c68e629bba773a10ac80012d10bf19 con una cifratura custom basata su substitution cipher e base64. La scelta di una cifratura debole suggerisce che la priorità sia l'occultamento dai tool di analisi automatica più che la resistenza a un esame manuale approfondito.

"The ted backdoor is compiled as part of the victim's existing HAProxy version 2.8.12. It uses its native filter API, internal memory pools, event scheduler, and process management infrastructure to intercept traffic and hide from monitoring, while genuine load balancing traffic operates as expected." — Rapid7 Labs

Perché è importante

Il dossier non specifica misure correttive o contromisure esplicite fornite dal vendor di HAProxy né indicazioni operative per la remediation. La fonte non documenta inoltre se il toolkit sia in uso esclusivo di un singolo APT nordcoreano o condiviso tra più gruppi, né stabilisce un numero preciso di vittime oltre le due organizzazioni analizzate.

La campagna evidenzia come il perimetro di attacco si sia spostato dai server web ai nodi di transito del traffico. Un load balancer compromesso espone non solo l'infrastruttura che lo ospita, ma tutti i clienti e gli utenti che vi transitano — un watering hole distribuito, non più limitato a un singolo sito. La tecnica di backdooring a livello sorgente, inoltre, rende la verifica della supply chain del software installato un controllo non più differibile.

L'attribuzione a "DPRK-nexus actors" da parte di Rapid7 si fonda su sovrapposizioni di tradecraft, non su evidenze infrastrutturali dirette. Non emergono, allo stato attuale, sovrapposizioni di infrastruttura C2 che colleghino con certezza il toolkit a Kimsuky, Lazarus o Andariel.

Domande e risposte

Le organizzazioni che gestiscono load balancer HAProxy, specialmente nelle geografie e nei settori indicati dalla fonte, si trovano ora a dover verificare l'integrità dei propri binari contro una minaccia che non lascia tracce comportamentali evidenti. Il passaggio dal compromesso del server al compromesso del nodo di transito segna una riconfigurazione del rischio che i modelli di difesa perimetrale tradizionali non coprono.

Fonti

• https://www.rapid7.com/blog/post/tr-dprk-apts-ted-backdoor-curlrat-target-south-korean-media-automotive-sectors
• https://ics-cert.kaspersky.com/publications/reports/2023/09/25/apt-and-financial-attacks-on-industrial-organizations-in-h1-2023/#korean-speaking-activity

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti