DPRK APT infiltra aziende sudcoreane tramite backdoor nel codice…

Rapid7 ha rivelato il 3 settembre 2026 un toolkit Linux precedentemente non documentato, TED e curlRAT, utilizzato da gruppi APT nordcoreani per operazioni di

{"main_topic":"cybersecurity","topics":["malware","linux","apt","infostealer","zero-day"]}

Rapid7 ha rivelato il 3 settembre 2026 un toolkit Linux precedentemente non documentato, TED e curlRAT, utilizzato da gruppi APT nordcoreani per operazioni di spionaggio a lungo termine contro settori mediatico e automobilistico sudcoreani. La compromissione raggiunge il cuore delle infrastrutture di rete: il backdoor viene compilato staticamente all'interno di HAProxy 2.8.12, trasformando il load balancer in una piattaforma di intercettazione del traffico SSL-terminato.

L'attività risale all'inizio del 2025, con le prime upload su VirusTotal collocate a metà 2025. La scoperta impone una revisione radicale della sicurezza delle appliance di rete tradizionalmente escluse dalla coverage EDR.

Punti chiave

Rapid7 attribuisce a gruppi APT nordcoreani con medium confidence attacchi contro media e automotive sudcoreani, con attività risalente all'inizio 2025.
Il backdoor TED è compilato come parte di HAProxy 2.8.12-0fdb194, rilasciato il 22 novembre 2024, e sfrutta la filter API nativa per intercettare traffico SSL-terminato in plaintext senza generare processi, connessioni o log anomali.
Il toolkit include curlRAT con watchdog dedicato, SSH keylogger con cifratura custom, stager con timestomping e sei handler C2 per esecuzione comandi, reverse shell e payload staging.
Il meccanismo di counter-scrubbing dei log file HAProxy indica, secondo i ricercatori, "serious time reading HAProxy source code and testing against a live instance".

Perché il load balancer è il target perfetto

La scelta di HAProxy come vettore di embedding non è casuale. Il software open-source gestisce la terminazione SSL per tutte le applicazioni a valle, posizionandosi idealmente per l'intercettazione. TED sfrutta le memory pool interne, l'event scheduler e il process management nativi per operare senza processi aggiuntivi, connessioni outbound inattese o voci di log.

Come ha dichiarato il team di ricerca Rapid7 in esclusiva a Dark Reading, "from the attacker's standpoint, the load balancer is an ideal location because SSL terminates there, it sits in front of all applications, and load balancers are often excluded from endpoint detection coverage". La citazione evidenzia un gap strutturale: le appliance di rete restano zone cieche per gran parte delle piattaforme EDR tradizionali.

La persistenza si ottiene attraverso trojanizzazione di binari di sistema: crond, agetty, atd, polkitd, sshd. Il timestomping allinea i timestamp a quelli di /usr/bin/ssh. I log filtrati passano attraverso /tmp/jasper-log. La cancellazione selettiva interessa /root/.bash_history e /var/log.

TED nel dettaglio: come funziona l'intercettazione

TED utilizza la filter API nativa di HAProxy per inserirsi nel flusso di elaborazione delle richieste. La backdoor compilata staticamente accede al traffico in plaintext al punto di terminazione SSL, eliminando la necessità di attacco man-in-the-host sulle macchine a valle. Questo meccanismo rappresenta, nelle parole dei ricercatori Rapid7, "a further step by embedding into production infrastructure rather than running alongside it".

Il C2 risponde attraverso raw TCP socket, bypassando completamente il sottosistema di logging. Il polling default di curlRAT è di 43.200 secondi, pari a 12 ore, con modalità fast-poll riducibile a 30 secondi. Il retry loop prevede 6 tentativi con intervalli di 5 secondi. Il buffer per l'output dei comandi è limitato a 1 MB.

L'infrastruttura C2 identificata utilizza img.monderhouse.space come dominio primario e img.darklights.store come fallback. Il token api_token ecd427ea8330a4ff73618483e00b9b41 e l'header User-token con victim ID completano il protocollo di autenticazione.

"Together, the two sectors suggest at least two concurrent objectives: information control and counterintelligence from the media side, and manufacturing technology intelligence from the automotive side" — Rapid7 researchers, via Dark Reading

Attribuzione e limiti dell'investigazione

Rapid7 assegna medium confidence all'attribuzione a gruppi APT nordcoreani. La valutazione si fonda su tre elementi convergenti: i target selezionati, l'offuscamento di complessità relativamente semplice, e la corrispondenza dei server C2 con infrastrutture documentate per APT37, InkySquid, ScarCruft e Ricochet Chollima. Non emerge tuttavia una sovrapposizione infrastrutturale che consenta di isolare un singolo gruppo allo stato attuale.

Il vettore di accesso iniziale resta non confermato. L'ipotesi più coerente con il tradecraft documentato punta a exploitation RCE di mail server, in linea con pattern Kimsuky, ma la fonte primaria vendor esplicita lo status di "unconfirmed pending further forensic evidence". Due vittime analizzate eseguivano edge webserver con porte 80, 443 e 25 esposte; la porta 443 ospitava un portale Groupware, la 25 un mail server.

La timeline di inizio campagna, stimata all'inizio 2025, deriva dalle earliest VirusTotal uploads a metà 2025 e dalla data di rilascio di HAProxy 2.8.12-0fdb194 il 22 novembre 2024. Non si tratta di conferma forense diretta.

Cosa fare adesso

Le aziende con infrastruttura critica in Asia-Pacific devono rivalutare immediatamente la postura di sicurezza delle appliance di rete. Quattro priorità emergono dal dossier:

Verifica integrità binaria HAProxy: confrontare hash e firme delle installazioni attuali con le release notes ufficiali del progetto, particolarmente per build 2.8.12-0fdb194 e successive derivazioni.
Correlazione log out-of-band: implementare logging su sistema separato, non raggiungibile dall'istanza HAProxy, per rilevare tentativi di scrubbing o gap anomali nei pattern temporali.
Ispezione processi di sistema: verificare l'integrità di binari di sistema come crond, agetty, atd, polkitd e sshd attraverso mechanismi di verifica indipendenti dall'host compromesso.
Analisi traffico raw socket: monitorare connessioni TCP che bypassano il sottosistema di logging dell'appliance, con particolare attenzione a destinazioni non documentate.

Perché questo segna una svolta nel modello di minaccia

L'evoluzione documentata da Rapid7 sposta l'embedding del malware dal runtime parallelo alla componente infrastrutturale stessa. Questo rende inefficace la detection basata su anomalie di processo e rete, paradigma dominante delle piattaforme EDR moderne. Il settore automobilistico sudcoreano, nodo critico per tecnologie V2X e sistemi autonomi, diventa bersaglio di furto IP manifatturiero. Il settore mediatico espone reporting non pubblicato e comunicazioni giornalistiche a controspionaggio.

Il messaggio tecnico è chiaro: le appliance di terminazione SSL non sono più semplici elementi di plumbing infrastrutturale. Sono il nuovo frontier critico.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter