Wprowadzenie do problemu / definicja
Analitycy bezpieczeństwa opisali nowy framework szpiegowski dla systemów Linux, wykorzystywany w atakach na organizacje z sektora motoryzacyjnego i medialnego w Korei Południowej. Kampania wyróżnia się tym, że kluczowy implant został osadzony bezpośrednio w HAProxy, czyli popularnym load balancerze i reverse proxy, co znacząco utrudnia wykrycie złośliwej aktywności w środowisku produkcyjnym.
Takie podejście oznacza odejście od klasycznych backdoorów działających jako osobne procesy. Złośliwy kod funkcjonuje wewnątrz legalnej usługi obsługującej ruch aplikacyjny, dzięki czemu może pozostawać niewidoczny dla wielu tradycyjnych mechanizmów monitoringu.
W skrócie
Według ustaleń badaczy atakujący wykorzystali zestaw narzędzi zaprojektowany do długoterminowego cyberwywiadu. W jego skład wchodzą backdoor zintegrowany z HAProxy, trojanizowane komponenty systemowe oraz moduły odpowiedzialne za zdalne wykonywanie poleceń, przechwytywanie poświadczeń i manipulowanie ruchem HTTP.
- implant ukryty w HAProxy umożliwia analizę i modyfikację ruchu webowego,
- trojan CurlRAT wspiera zdalne sterowanie i wykonywanie poleceń,
- stager wdraża kolejne moduły warunkowo, zależnie od roli hosta,
- podmienione binaria systemowe pomagają utrzymać trwały dostęp,
- keylogger SSH ułatwia kradzież poświadczeń i ruch boczny w sieci.
Kontekst / historia
Operację powiązano z aktorem łączonym z Koreą Północną na podstawie artefaktów technicznych, infrastruktury oraz podobieństw operacyjnych do wcześniejszych kampanii przypisywanych grupom APT37 i Lazarus. Badacze wskazują również na zbieżności z wcześniejszymi działaniami szpiegowskimi wymierzonymi w region Korei Południowej.
Wstępny dostęp miał zostać uzyskany przez podatność w portalu logowania systemu groupware. Następnie operatorzy rozbudowali obecność w środowisku poprzez przechwytywanie danych uwierzytelniających i lateral movement, co sugeruje dobrze przygotowaną, wieloetapową operację nastawioną na długotrwałą infiltrację.
Analiza techniczna
Najbardziej zaawansowanym elementem kampanii jest backdoor określany jako „ted”, skompilowany jako część kodu źródłowego HAProxy 2.8.12. Implant wykorzystuje natywne mechanizmy HAProxy, w tym parser HTTP, API filtrów, zarządzanie pamięcią i harmonogram zdarzeń, dzięki czemu może działać wewnątrz legalnego procesu bez zakłócania jego podstawowych funkcji.
W praktyce złośliwy moduł pozwala na przechwytywanie i selekcjonowanie ruchu aplikacyjnego, wstrzykiwanie skryptów do odpowiedzi webowych, przekierowywanie wybranych użytkowników oraz wspieranie komunikacji z infrastrukturą C2. To sprawia, że aktywność napastników może zostać ukryta w zwykłym ruchu produkcyjnym, co obniża skuteczność standardowych narzędzi detekcyjnych.
Drugim ważnym komponentem jest CurlRAT, czyli zdalny trojan oparty na bibliotece curl. Malware okresowo komunikuje się z serwerem dowodzenia, pobiera zaszyfrowane polecenia, wykonuje je na zainfekowanym systemie, a także może zapisywać konfigurację i uruchamiać interaktywną powłokę. Nieregularne i oszczędne odpytywanie C2 ogranicza ślad sieciowy i utrudnia wykrycie beaconingu.
Badacze opisali również stager odpowiadający za etapowe wdrażanie ładunków. Mechanizm sprawdza obecność określonych usług, takich jak crond czy HAProxy, a następnie instaluje odpowiednie moduły tylko tam, gdzie mają one operacyjny sens. To wskazuje na dobre rozpoznanie środowiska ofiary i świadome ograniczanie ryzyka dekonspiracji.
W kampanii wykorzystywano ponadto trojanizowane wersje narzędzi i demonów systemowych, w tym agetty, atd, crond, polkitd i sshd. Szczególnie groźny był keylogger SSH, który nie tylko przechwytywał poświadczenia, ale także wspierał dalsze etapowanie narzędzi w środowisku. Pozyskane dane logowania mogły następnie posłużyć do poruszania się po sieci wewnętrznej i rozszerzania kompromitacji.
Konsekwencje / ryzyko
Ryzyko związane z takim atakiem jest bardzo wysokie, ponieważ kompromitacja obejmuje warstwę pośredniczącą obsługującą ruch aplikacyjny. Przejęcie HAProxy daje możliwość pasywnego podsłuchu sesji, kradzieży ciasteczek i poświadczeń, manipulacji treścią HTTP oraz selektywnego przekierowywania użytkowników bez konieczności natychmiastowego infekowania urządzeń końcowych.
Połączenie implantów w infrastrukturze brzegowej, trojanizowanych usług systemowych i keyloggera SSH zwiększa trwałość ataku. Nawet jeśli jeden komponent zostanie wykryty, pozostałe mogą utrzymać dostęp lub umożliwić ponowną instalację narzędzi. W praktyce oznacza to ryzyko długoterminowego szpiegostwa, naruszenia poufności danych i przejęcia uprzywilejowanych kont.
Rekomendacje
Organizacje korzystające z Linuxa w roli reverse proxy, load balancera lub serwera edge powinny rozszerzyć monitoring poza klasyczne EDR wdrażane na serwerach aplikacyjnych. Szczególnie ważna jest kontrola integralności krytycznych binariów oraz analiza nietypowych zmian w zachowaniu usług sieciowych.
- weryfikować integralność HAProxy, sshd, crond, polkitd, agetty i innych kluczowych usług,
- porównywać binaria z zaufanymi buildami oraz podpisami pakietów,
- wdrożyć ciągłe monitorowanie plików i konfiguracji na serwerach brzegowych,
- analizować nietypowe modyfikacje odpowiedzi HTTP na poziomie proxy,
- rotować klucze SSH, hasła i aktywne sesje po wykryciu incydentu,
- ograniczać ruch boczny poprzez segmentację sieci,
- kontrolować zadania harmonogramu, usługi systemowe i mechanizmy persistence,
- szybko aktualizować portale logowania i usługi dostępne z internetu.
Z perspektywy SOC i DFIR istotne jest także polowanie na symptomy niskiego i nieregularnego beaconingu C2, anomalie w pracy HAProxy oraz niespójności między ruchem widzianym przez użytkowników a wynikami standardowych testów. W przypadku podejrzenia pełnej kompromitacji samo usunięcie próbek malware może nie wystarczyć i konieczna może być odbudowa środowiska z zaufanych obrazów.
Podsumowanie
Opisana kampania pokazuje rosnącą dojrzałość operacji szpiegowskich wymierzonych w środowiska Linux i infrastrukturę brzegową. Osadzenie backdoora bezpośrednio w HAProxy, wykorzystanie trojanizowanych komponentów systemowych oraz ukrywanie działań w legalnym ruchu sieciowym tworzą zestaw trudny do wykrycia i skuteczny w długotrwałej infiltracji.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że monitoring musi obejmować nie tylko stacje końcowe i aplikacje, ale również warstwy pośredniczące, które coraz częściej stają się celem zaawansowanych operacji APT.
Źródła
- https://www.securityweek.com/north-korean-hackers-deploy-new-linux-espionage-toolkit/
- https://www.rapid7.com/