Исследователи из компании Rapid7 обнаружили новый Linux-инструментарий, предназначенный для кибершпионажа, который уже применялся для атак на две южнокорейские организации из автомобильной и медийной отраслей. Своей главной находкой специалисты считают бэкдор Ted, который был встроен в модифицированную сборку балансировщика HAProxy.
Пока неизвестно, как именно злоумышленники получили первоначальный доступ к инфраструктуре пострадавших организаций. В Rapid7 предполагают, что точкой входа могла стать уязвимость в одном из корейских Groupware-порталов, однако прямых доказательств этой теории нет.
Согласно отчету исследователей, обе пострадавшие организации использовали HAProxy 2.8.12. Атакующие пересобрали исходный код ПО, внедрив в него бэкдор, и подключили его к обработке HTTP-трафика через штатный API фильтров и внутренние механизмы балансировщика. При этом обычный трафик продолжал обрабатываться в штатном режиме, что помогало скрывать присутствие вредоноса.
В компании подчеркивают, что речь идет не о какой-либо уязвимости в HAProxy: чтобы развернуть Ted на машинах жертв, злоумышленникам заранее требовались права для выполнения кода на сервере и возможность подменить легитимный бинарник.
Отдельное внимание специалисты уделили механизму связи бэкдора с управляющим сервером. Специальный HTTP-запрос переводит Ted в режим C&C, после чего бэкдор уменьшает счетчики активных соединений в HAProxy и перехватывает запрос прямо на уровне балансировщика. В результате команда не попадает на бэкенд, в логи и в статистику самого HAProxy. Ответ возвращается через обычное соединение под видом стандартного HTTP/1.0 200 OK.
Через этот канал операторы малвари могли выполнять шелл-команды, загружать и скачивать файлы, менять конфигурацию вредоноса и внедрять скрипты в веб-страницы. Причем в последнем случае вредоносный контент получали только выбранные посетители: Ted проверял User-Agent, URL, Referer и IP-адрес клиента.
Исследователи объясняют, что это позволяло использовать скомпрометированный сервер для атак типа watering hole: незаметно подменять страницы для отдельных целей, похищать сессии и учетные данные или проводить drive-by атаки, однако для остальных посетителей и исследователей контент не меняется.
Обнаруженный экспертами инструментарий не ограничивался одним только Ted: помимо него специалисты обнаружили троянизированные версии crond, sshd, agetty, atd и polkitd. Модифицированный sshd перехватывал пароли пользователей, а отдельный стейджер проверял наличие в системе HAProxy или cron и устанавливал малварь только при наличии root-прав. Кроме того, он удалял следы активности из истории bash и системных логов.
Также в атаках использовался curlRAT — отдельный RAT, который по умолчанию опрашивает управляющий сервер каждые 12 часов и по команде может сократить этот интервал до 30 секунд. CurlRAT способен выполнять команды, изменять собственную конфигурацию и запускать интерактивный PTY-shell.
Инфраструктура, использованные злоумышленниками техники и отдельные элементы этой кампании пересекаются с активностью северокорейских хак-групп APT37, Lazarus и Kimsuky. Поэтому специалисты со средней степенью уверенности связывают эти атаки с «правительственными» хакерами из КНДР. Однако отмечается, что подобные группировки могут использовать общие инструменты и инфраструктуру, что заметно осложняет однозначную атрибуцию.
