Onderzoekers hebben een nieuwe backdoor ontdekt die zich verstopt in de eigen HAProxy-builds van slachtoffers om webverkeer te onderscheppen en te manipuleren. Deze toolkit, die de naam ted draagt, is ingebouwd in getrojaniseerde HAProxy-loadbalancers bij twee Zuid-Koreaanse organisaties uit de automotive en mediasector. De malware onderschepte webverkeer en diende aangepaste pagina's aan geselecteerde bezoekers uit.

De backdoor is geen kwetsbaarheid in HAProxy zelf, maar vereist dat aanvallers al code-uitvoering op het systeem hebben en het lopende HAProxy-binaire bestand kunnen vervangen. De command-and-control (C2) communicatie wordt niet doorgestuurd naar een backendserver en verdwijnt uit de verbindingstellingen van HAProxy, waardoor noch backendlogs noch statistieken van de loadbalancer de activiteit registreren. Een specifieke afbeeldingsaanvraag zet de backdoor in C2-modus, waarbij opdrachten via een named pipe worden verwerkt en de output als ogenschijnlijk normaal HTTP-verkeer wordt teruggestuurd. Alleen verzoeken die aan vier strenge controles voldoen, ontvangen een aangepaste pagina. Deze controles omvatten onder meer een specifieke User-Agent, URL- en refererpatronen, en een whitelist op IP-adres of een operator-sleutel in de Accept-Language header.

De implant controleert of HAProxy of cron al draait en verifieert rootrechten voordat het zichzelf installeert. Het overschrijft het legitieme crond-binaire bestand en verbergt sporen door sleutelwoorden uit bash-geschiedenis en systeemlogs te verwijderen. Daarnaast bevat de toolkit een getrojaniseerde sshd die onderschepte wachtwoorden versleuteld opslaat, en vergelijkbare code is gevonden in agetty, atd en polkitd binaries. Een bijbehorende remote access trojan, curlRAT genaamd, communiceert standaard elke 12 uur met de C2-server en verhoogt dit naar 30 seconden op commando. Deze malware activeert alleen op gevirtualiseerde hosts.

Rapid7 Labs wijst met middelmatige zekerheid Noord-Koreaanse staatsgesponsorde actoren aan als vermoedelijke aanvallers. De eerste toegang zou mogelijk zijn verkregen via een kwetsbaarheid in een Groupware-portal, gebaseerd op onderzoek van ENKI. De backdoor en bijbehorende malware laten nauwelijks sporen achter en zijn ontworpen om detectie te vermijden, wat het risico op langdurige onopgemerkte toegang vergroot.