北朝鮮系と見られるハッカー集団が、トロイの木馬化したLinuxシステムサービスとHAProxyバックドアを用いて、韓国の各種組織を数年にわたり監視していた可能性があります。Rapid7の研究者らは、これまで知られていなかった一連の悪性ツール群を発見しました。これらのツールは韓国の自動車業界とメディア業界のネットワークに感染していました。さらに攻撃者はcrond、sshd、polkitd、agetty、atdといった正規ファイルを差し替えていました。その結果、これらの悪性プロセスは標準的なLinuxコンポーネントに見せかけられていたのです。
バックドア「Ted」によるHAProxyの脅威
バックドア「Ted」は、この攻撃ツールキットの中核要素として浮上しました。攻撃者はこれを、HAProxyバージョン2.8.12に直接組み込んでいました。興味深いことに、この改変されたロードバランサーは通常のトラフィックを引き続き処理していました。しかしそれと同時に、HTTPリクエストを傍受してCookieを窃取していたのです。また、訪問者のデータを収集し、コマンドを実行し、Webページのコンテンツを改変することもできました。さらに、攻撃者はさまざまなパラメータに基づいて特定のユーザーを標的にすることが可能でした。IPアドレス、サブネット、ユーザーエージェント、ページアドレス、リファラー元などを利用していたのです。これにより、サーバーの応答を密かに改変したり、悪性スクリプトを注入したりしていました。
ひそかなコマンド実行
コマンドは特殊なHTTPリクエストとして送られてきました。これらのリクエストはHAProxy内部で終端し、内部サーバーには一切到達しませんでした。その結果、標準的なアプリケーションログにはこの悪性活動が記録されなかったのです。もう一つの重要な構成要素が「CurlRAT」でした。ハッカーはそのコードをcrondおよびその他の重要なシステムサービスに注入していました。このトロイの木馬は、コマンド実行、ファイルのダウンロード、シェルアクセスに対応していました。さらに、システム情報を収集し、コマンドサーバーと通信する機能も備えていました。マルウェアはこの通信に標準的なHTTPまたはHTTPSプロトコルを使用していました。
システム検知回避と認証情報の窃取
マルウェアのローダーは、Linuxのバージョンとプロセッサーアーキテクチャを能動的に確認していました。続いて適切なファイルを選択し、実際のcrondサービスと差し替えていました。さらに、/usr/bin/sshファイルと一致する偽のタイムスタンプを付与していました。改変されたsshdサービスは、事実上のキーストロークロガーとして機能していました。このプログラムは平文のユーザーパスワードを収集し、それを暗号化していました。独自のアルゴリズムを使用し、データを/var/lib/sshdディレクトリに保存していたのです。一方でローダーは、特定のログエントリを選別して削除していました。tmp、wget、cron、crondといった語を含む行を削除し、インストールの痕跡を隠していました。
攻撃者の特定と防御策
Rapid7のアナリストは、中程度の確度でこの攻撃キャンペーンを北朝鮮系の脅威アクターと結び付けています。標的の選定や韓国のインターネットサービスを模倣する手口が、この出自を示唆しています。暗号化手法やコマンドサーバーのアドレスも、過去のAPT37の活動と一致しています。しかし研究者らは、具体的な攻撃グループや初期侵入の手口をまだ特定できていません。脆弱なメールサーバーや企業のグループウェアポータルが侵入経路になった可能性が高いとみられます。最も古いマルウェアの検体は、2025年半ばにVirusTotal上に出現していました。ただし、実際の攻撃はおそらく同年の年初には始まっていたとみられます。詳細なガイダンスについては、管理者はRapid7によるバックドア「Ted」およびCurlRATの分析を確認することをお勧めします。専門家は、システムファイルの整合性を検証し、メモリを解析することを推奨しています。感染したサーバーのログだけでは、バックドア「Ted」を検知することはできません。
翻訳元: https://meterpreter.org/ted-backdoor-haproxy-malware/
