LONDON (IT BOLTWISE) – Eine bislang unbekannte Linux-Toolbox ist in trojanisierte HAProxy-Load-Balancer eingebettet worden und soll damit den Webverkehr abfangen. Die Angreifer nutzen ein Implant namens „ted“, das nur bestimmte Requests filtert und dann veränderte Inhalte ausliefert. Dabei sind typische Spuren schwer nachzuvollziehen, weil Kommandoanfragen innerhalb des Load Balancers gelöscht werden und die Verbindungscounter manipuliert sind. Betroffen sind zwei Organisationen in Südkorea aus den Bereichen Automotive und Medien, wie aus der Analyse hervorgeht.
In zwei Organisationen aus Südkorea ist eine Hintertür entdeckt worden, die nicht „klassisch“ über eine Schwachstelle in HAProxy einsteigt. Stattdessen fanden Analysten ein trojanisiertes HAProxy-Image vor, in das ein Linux-Toolkit direkt kompiliert war. Das Implant trägt im Debug-String den Namen „ted“ und arbeitet wie ein in den Load Balancer eingewachsenes Filtermodul: Es fängt HTTP-Anfragen ab, entscheidet serverseitig, ob eine Seite geändert wird, und gibt die Antwort danach so zurück, dass der Austausch nach normalem Webverkehr aussieht.
Entscheidend ist dabei das Betriebs- und Evidenzmodell des Angriffs. Die Command-and-Control-Kommunikation (C2) soll laut Bericht niemals ein Backend erreichen, weil die Requests intern verarbeitet und anschließend aus den Verbindungsauswertungen von HAProxy entfernt werden. Das hat eine klare Folge für die Ermittlungsarbeit: Weder Backend-Logs noch die Load-Balancer-Statistiken enthalten die C2-Aktionen vollständig. Zusätzlich dekrementiert das Implant die Live-Connection-Counter, wodurch die Verbindung aus den Statistiken herausfällt. Für die Operatoren zählt zudem Timing und Bedienbarkeit: Bestimmte Anfragen versetzen ted in einen C2-Modus, in dem es u. a. Beaconing betreiben, Dateien hoch- und herunterladen, Shell-Befehle ausführen und die Konfiguration des Implant-Setups austauschen kann.
Technisch gesehen nutzt das Implant eine mehrstufige Steuerung über den HTTP-Kontext. Ein einzelner spezifischer Image-Pfad kann ausreichen, um den Filter in die C2-Rolle zu bringen; danach schreibt ted den Command-Body in einen benannten Pipe unter /tmp. Um sicherzustellen, dass nichts weitergereicht wird, werden anschließend die Kommunikationsdaten „auf Null gestellt“ und das Kommando beendet sich direkt am Load Balancer. Weil die Antwort über den Rohsocket mit einem HTTP/1.0 200 OK Header zurückkommt, entsteht der Eindruck einer gewöhnlichen erfolgreichen Webanfrage. In einer zweiten Phase greift die Verfälschungslogik: Nur Requests, die genau vier Prüfungen bestehen, erhalten eine modifizierte Seite. Zusätzlich werden dafür User-Agent-Fähigkeiten herangezogen und URL- sowie Referer-Muster müssen zusammenpassen, bevor überhaupt eine inhaltliche Manipulation erfolgt.
Die Delivery-Entscheidung kombiniert dabei offenbar mehrere Sicherheits-Bypass-Regeln. In der Basisvariante werden erlaubte Clients über eine Whitelist anhand der Client-Adresse geprüft – erst exakt, danach auf /24-Ebene. Alternativ kann ein Operator-Key in einem Accept-Language-Header diese Adressefilterung vollständig überstimmen, was die Reichweite der Angriffe für gezielte Testing- oder Eskalationsphasen deutlich erweitert. Das Implant greift außerdem in Response-Metadaten ein: Es überschreibt Content-Type und Content-Length, erzwingt den Statuscode 200 und entfernt den Accept-Ranges-Header, damit Clients keine Byte-Range-Anfragen stellen und so die Größenänderung nicht leicht erkennen. Auch diese Details zielen auf weniger „auffällige“ Netzwerkindikatoren, selbst wenn die eigentliche Nutzlast abweicht.
Der Einstieg und die Persistenz folgen anschließend einem Muster, das stark auf Host-Berechtigungen und „saubere“ Oberflächen abzielt. Die Angreifer sollen zuvor Codeausführung benötigt haben, um den laufenden Binärstand zu ersetzen – und damit HAProxy nicht als angreifbares Softwareprojekt missbrauchen, sondern als Trägermedium verwenden. Der Stager wird nur dort installiert, wo HAProxy oder cron ohnehin laufen, und prüft vor dem Drop Root-Rechte. Anschließend ersetzt er den legitimen crond-Binärinhalt und sorgt dafür, dass der Ersatz das Erstellungsdatum von /usr/bin/ssh trägt. Um Analysten im Betrieb weniger Anhaltspunkte zu geben, entfernt ted Suchbegriffe wie tmp, wget sowie cron bzw. crond aus der Bash-History von Root und bereinigt mehrere Systemlogs; laut Analyse gehören auth.log sowie audit/audit.log zu diesem Set. In demselben Toolkit findet sich außerdem ein trojanisiertes sshd, das beim Erheben von Klartext-Passwörtern eine Verschlüsselung anwendet und die Daten auf einem festen Pfad schreibt.
Neben ted taucht in der Beschreibung auch ein weiterer Komponentenblock auf: ein Remote-Access-Trojan (RAT), den die Analysten als „curlRAT“ einordnen. Dieser sendet im Standardfall alle 12 Stunden Beaconing und kann bei gesetztem Operator-Flag auf einen 30-Sekunden-Takt herunterschalten. Auch hier wird die Ausführung an die Umgebung gekoppelt: Der Code bricht ab, wenn kein Markerfile existiert, das auf eine Virtualisierung hinweist. Gleichzeitig wird eine Abgrenzung zu einem anderen benannten RAT-Stamm gemacht, der in einer separaten Kampagnenfamilie verortet wird; dabei handelt es sich laut Einordnung um einen weiteren, nicht identischen Technologietyp. Für die Zuordnung zu Akteursclustern wird zudem argumentiert, dass mehrere North-Korea-Cluster unterschiedliche Rollen abdecken: Ein Cluster wird für die Infrastrukturlisten genannt, ein anderer für das Delivery-Muster und ein dritter für die initiale Zugriffshypothese.
Die initiale Zugriffsschiene bleibt dabei teilweise offen. Als Arbeitshypothese wird diskutiert, dass die Angreifer über ein kompromittiertes Groupware-Portal eingestiegen sein könnten, also eine Klasse von koreanischer Unternehmens-Software für die Zusammenarbeit. Diese Annahme stützt sich auf eine frühere Forschung zu einer bekannten Kampagne, bei der ein Vendor-Umweg über ein Mail-Server-Problem stattgefunden haben soll. Weitere Punkte sprechen jedoch für eine sehr zielgerichtete Umsetzung: Der Stager ist an konkrete HAProxy-Versionen angepasst und liest interne HAProxy-Strukturen über Offsets, die auf einem bestimmten Release basieren; falls andere Builds existieren, nennt der Bericht keine direkte Übertragbarkeit. Gleichzeitig wird betont, dass ein reines Upgrading die Hintertür nicht „herausreinigt“, weil die Angreifer den Binärstand ersetzen statt eine klassische Schwachstelle auszunutzen. Empfohlen werden daher unabhängige Netzwerk-Korrelation, Memory-Verhaltensanalysen und Binärintegritätschecks, wobei die Integritätsprüfung in der Praxis ohne verlässliche Erkennungsregeln schwerer wird, da ein Rebuild denselben Versionsstring wie ein sauberes HAProxy liefern kann.
Für Betreiber und Security-Teams bedeutet das vor allem eins: HAProxy darf nicht nur als Netzwerk-Kante betrachtet werden, die „nur weiterleitet“. Wenn der Load Balancer selbst als kompromittierter Verarbeitungsknoten fungiert, verschwimmen die Grenzen zwischen Webschutz, Traffic-Analyse und Host-Forensik. Die konkrete Kombination aus manipulierter Statistik, „harmlosem“ HTTP-200-Look-and-Feel und selektiver Content-Umformung erschwert klassische IOC- und Log-Workflows. Zwar sind Indikatoren wie bestimmte Domain-Namen und Dateipfade genannt, allerdings lässt sich aus dem Text auch ableiten, dass DNS-Auflösung für diese Domains zum Zeitpunkt der Prüfung ins Leere laufen kann und sie eher für historische Log-Checks taugen als für blockierendes Live-Traffic-Filtering. In Summe verschiebt der Fund den Fokus: Nicht nur „patched oder nicht gepatcht“, sondern „wer hat den Binärstand ersetzt“ und „was hat sich im Load Balancer-Verhalten verändert“ werden zur zentralen Frage.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ted-Backdoor in trojanisierten HAProxy-Instanzen: Verkehr wird gefiltert und verfälscht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ted-Backdoor in trojanisierten HAProxy-Instanzen: Verkehr wird gefiltert und verfälscht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ted-Backdoor in trojanisierten HAProxy-Instanzen: Verkehr wird gefiltert und verfälscht« bei Google Deutschland suchen, bei Bing oder Google News!