Um toolkit Linux até então não documentado foi encontrado compilado diretamente nos balanceadores de carga HAProxy adulterados de duas organizações sul-coreanas. A ferramenta interceptava o tráfego web e exibia páginas alteradas para visitantes selecionados.
Os hackers batizaram o implante de ted em strings de depuração deixadas no binário. Não se trata de uma vulnerabilidade do HAProxy, e a instalação exige execução de código no host e a capacidade de substituir o binário em execução.
A Rapid7 Labs atribuiu o toolkit com confiança média a atores patrocinados pelo Estado norte-coreano e apontou as duas vítimas nos setores automotivo e de mídia da Coreia do Sul.
As requisições de comando e controle (C2) nunca chegam a um servidor de backend e são apagadas dos próprios contadores de conexão do HAProxy, de modo que nem os logs do backend nem as estatísticas do balanceador registram a atividade.
"Mais evidências são necessárias para uma avaliação mais definitiva", disse a Rapid7.
Segundo a empresa, uma requisição para um caminho específico de imagem coloca o filtro em modo C2. O implante decrementa os contadores de conexões ativas do HAProxy, removendo a conexão das estatísticas do balanceador. Em seguida, grava o corpo do comando em um pipe nomeado em /tmp. Depois, zera o canal da requisição, não deixa nada para encaminhar e faz o comando terminar no próprio balanceador.
A resposta retorna no socket bruto com um cabeçalho HTTP/1.0 200 OK padrão, o que faz a troca parecer tráfego web comum.
Por esse canal, o operador pode fazer beacon, enviar e baixar arquivos, executar comandos de shell e substituir a configuração do implante. Só as requisições que passam por quatro verificações recebem uma página modificada.
A requisição precisa incluir um User-Agent e corresponder a uma regra cujos padrões de URL e referer se encaixem. A entrega então depende de a origem estar em uma whitelist do endereço do cliente, verificada de forma exata e também no nível /24, ou de uma chave do operador no cabeçalho Accept-Language, que ignora totalmente o filtro de endereço.
O implante reescreve o tipo e o tamanho do conteúdo na saída, força o status da resposta para 200 e remove o cabeçalho Accept-Ranges para que o cliente não possa pedir intervalos de bytes e perceber a mudança de tamanho.
A Rapid7 afirmou que as evidências não bastam para estabelecer uma linha do tempo nem para determinar como os hackers entraram inicialmente.
A hipótese de que o acesso tenha ocorrido por meio de um portal Groupware exposto, uma classe de software coreano de colaboração corporativa, se baseia na pesquisa da ENKI citada pela empresa. Esse relatório documentou o Kimsuky comprometendo um fornecedor de Groupware por meio de uma falha em um servidor de e-mail.
O stager só é implantado onde o HAProxy ou o cron já estão em execução, e verifica se há privilégios de root antes de colocar qualquer arquivo. Ele substitui o binário legítimo crond e atribui à cópia o carimbo de criação de /usr/bin/ssh. Em seguida, remove as palavras tmp, wget, cron e crond do histórico bash do root e de seis logs do sistema, entre eles auth.log e audit/audit.log.
Um sshd adulterado no mesmo toolkit criptografa as senhas em texto simples capturadas e as grava em um caminho fixo.
A Rapid7 encontrou o mesmo código em binários adulterados de agetty, atd e polkitd. Um trojan de acesso remoto, ou RAT, que a Rapid7 chama de curlRAT, faz beacon a cada 12 horas por padrão e reduz o intervalo para 30 segundos quando o operador define uma flag. Ele interrompe a execução se não encontrar um arquivo marcador que indique que o host está virtualizado.
O curlRAT é diferente do CurlBack RAT, uma família separada com esse nome atribuída ao grupo SideCopy, ligado ao Paquistão.
A Rapid7 compartilhou os seguintes indicadores de comprometimento (IoCs):
Domínio: img.monderhouse[.]space
Domínio: img.smartnords[.]site
Domínio: img.darklights[.]store
Domínio: img.responsive.pstatic[.]autos
Domínio: img.socialteams[.]store
Domínio: img.worksongo[.]store
Arquivo: ~/cache/haproxy-1000.cache
Arquivo: /var/lib/sshd/c8c68e629bba773a10ac80012d10bf19
Arquivo: /var/lib/snapd/g580
Arquivo: /tmp/jasper-log
SHA-256: 72e70936f0dbe459142a1d867617c35f8d0cce5d18c6a49e1090a2a5adc8e558
SHA-256: 4bb923eb040aa13ca8fd409c31ee4729c60ddff32e350efe1c5a4a9168a065f5
Segundoportais de notícia, em 4 de setembro, nenhum dos seis domínios resolve, retornando NXDOMAIN, o que significa que o nome não existe, tanto para registros A quanto NS via Google Public DNS. Eles são úteis para revisar logs históricos, e não para bloquear tráfego ao vivo.
Parte da atribuição se apoia em uma lista desses domínios sob APT37 no maltrail, um projeto de detecção open source. O arquivo do maltrail citado pela Rapid7 deixou de ser acessível depois que uma reorganização do repositório, em agosto, moveu os dados estáticos de trilhas do projeto para outro local.
Segundo o The Hacker News, em 4 de setembro, os seis domínios estão presentes no novo local, todos rotulados como infraestrutura do APT37. O arquivo de fonte do APT37 no maltrail atribui essas entradas a duas publicações no X de julho de 2025 e não faz referência à Rapid7.
Mais seis domínios aparecem nas mesmas duas entradas do maltrail, mas não na lista da Rapid7: primgs[.]lol, admin.primgs[.]lol, grip-cdns[.]space, show.grip-cdns[.]space, cleanos[.]online e app.cleanos[.]online. A Rapid7 não disse se eles fazem parte da mesma infraestrutura.
A etiqueta do ThreatFox que a Rapid7 cita como segunda fonte para os mesmos domínios registra cinco observações, todas com data de 2 de julho de 2025.
Uma das duas publicações no X citadas pelo maltrail foi publicada três horas antes naquele mesmo dia.
A passagem sobre atribuição se apoia em três clusters norte-coreanos separados, APT37 para a lista de domínios, Lazarus para o modelo de entrega e Kimsuky para a hipótese de acesso inicial.
A avaliação da Mandiant de 2023 sobre a estrutura cibernética da Coreia do Norte registrou ferramentas compartilhadas e alvos sobrepostos entre esses clusters.
"Acreditamos que isso tornará a atribuição precisa mais difícil", disse a Mandiant.
A Rapid7 comparou o modelo de entrega à campanha Operation SyncHole, na qual visitantes de sites de mídia online sul-coreanos eram filtrados por um script no lado do servidor e redirecionados. Os pesquisadores da Kaspersky, Sojun Ryu e Vasily Berdnikov, avaliaram "com confiança média" que a página redirecionada pode ter executado um script malicioso contra uma falha no Cross EX, um auxiliar de navegador sul-coreano.
O relatório SyncHole da Kaspersky identificou pelo menos seis vítimas nos setores de software, TI, financeiro, fabricação de semicondutores e telecomunicações.
As duas vítimas executavam o HAProxy 2.8.12, lançado em 8 de novembro de 2024, segundo o histórico de versões do próprio HAProxy. O implante lê estruturas internas do HAProxy em offsets fixos dessa versão, e a Rapid7 não informa se existem outras versões 2.8 afetadas.
A versão atual dessa linha é a 2.8.28, de 27 de agosto de 2026, 16 versões depois. O rastreador do HAProxy lista 529 bugs conhecidos que afetam a 2.8.12 e já foram corrigidos na linha, incluindo 1 crítico e 16 graves.
Fazer upgrade não limpa um host que já tenha o implante, porque os hackers substituem o binário em vez de explorar uma falha nele.
A Rapid7 recomendou correlação independente de rede, análise comportamental de memória e verificações de integridade de binários. O relatório não publica regras de detecção para essa última verificação, e um HAProxy recompilado exibe a mesma string de versão que uma build limpa.
O caso surge no momento em que a AhnLab e a ENKI WhiteHat documentaram, em julho, uma campanha semelhante de watering hole, na qual operadores patrocinados pelo Estado abusaram de sites coreanos comprometidos para atacar o cliente de assinatura AnySign4PC.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...