Jak donosi SecurityWeek, korzystając z publikacji Rapid7, hakerzy wykorzystują nowy zestaw narzędzi dla systemu Linux w atakach wymierzonych w południowokoreańskie organizacje z branży motoryzacyjnej i medialnej.

Autor: 5 min czytania

Zaprojektowany z myślą o długotrwałej inwigilacji pakiet narzędzi składa się z instancji HAProxy o nazwie „ted backdoor” oraz zmodyfikowanych (zainfekowanych) wersji narzędzi takich jak „agetty”, „atd”, „crond”, „polkitd” i „sshd”.

Zestaw ten umożliwia zdalne wykonywanie poleceń, przejmowanie danych uwierzytelniających oraz wstrzykiwanie skryptów do ruchu sieciowego, co pozwala napastnikom na długotrwałe szpiegowanie ofiar.

Według Rapid7 rozwiązanie jest głęboko zintegrowane z infrastrukturą celu. Komponent „ted backdoor” został skompilowany jako część wersji 2.8.12 oprogramowania HAProxy działającego w środowisku ofiary.

„Wykorzystuje ono natywne API filtrów, wewnętrzne pule pamięci, harmonogram zdarzeń oraz infrastrukturę zarządzania procesami do przechwytywania ruchu i ukrywania się przed systemami monitorowania, podczas gdy właściwy ruch związany z równoważeniem obciążenia (load balancing) przebiega zgodnie z oczekiwaniami” – wyjaśnia firma zajmująca się cyberbezpieczeństwem.

Zestaw narzędzi, prawdopodobnie używany od końca 2024 roku, kiedy to wydano pierwszą wersję HAProxy zawierającą ten mechanizm, wykorzystuje również narzędzie typu RAT oparte na bibliotece curl (CurlRAT), keylogger SSH oraz moduł wstępny (tzw. stager).

Wstępny dostęp do serwera brzegowego uzyskano poprzez wykorzystanie luki w portalu logowania do systemu typu Groupware. Keylogger SSH, pełniący jednocześnie funkcję serwera pośredniczącego (staging server), posłużył do przejęcia danych uwierzytelniających, co umożliwiło przemieszczanie się wewnątrz sieci (ruch boczny) do systemów wewnętrznych.

„Moduł wstępny sprawdza obecność procesów crond lub HAProxy i dopiero wtedy wdraża CurlRAT, pobierając go z własnej sekcji danych lub z serwera WWW na brzegu sieci. Równolegle na serwerze równoważącym obciążenie HAProxy umieszczany jest komponent ted backdoor” – wyjaśnia Rapid7. Backdoor nawiązuje komunikację z serwerem sterującym (C&C) w celu eksfiltracji danych, wstrzykiwania skryptów i wykonywania poleceń, a serwer równoważący zaczyna przekierowywać lub serwować złośliwe treści wybranym klientom.

CurlRAT – wspomniane narzędzie typu RAT oparte na bibliotece curl – łączy się z serwerem C&C co 12 godzin w poszukiwaniu nowych poleceń. Na ich podstawie może odszyfrowywać i wykonywać zadania zapisane w konfiguracji, dekodować i zapisywać na dysku nowy ładunek konfiguracyjny oraz uruchamiać pełną interaktywną powłokę PTY. Ted backdoor to niestandardowa wtyczka do HAProxy, skompilowana wraz z kodem źródłowym tego narzędzia i zintegrowana bezpośrednio z jego wbudowanym parserem HTTP. Umożliwia ona m.in. przechwytywanie i wstrzykiwanie ruchu HTTP, wykonywanie zadań otrzymywanych z serwera C&C (Command & Control) oraz zapewnienie nieprzerwanej obecności w zainfekowanym systemie.

W ramach zaobserwowanych ataków sprawca wykorzystywał adresy zarejestrowane w tanich, powszechnie dostępnych domenach najwyższego poziomu (TLD) i maskował ruch związany z dostarczaniem złośliwego ładunku, wplatając go w standardowy ruch przeglądarkowy oraz podszywając się pod domenę *pstatic.net* serwisu Naver, służącą do obsługi treści statycznych.

„Zarówno Ted backdoor, jak i curlRAT zostały zaprojektowane tak, aby utrzymywać się w systemie podczas długotrwałych operacji szpiegowskich. Oferują one możliwość kradzieży plików cookie sesji i danych uwierzytelniających, przekierowywania wybranych użytkowników, przeprowadzania ataków typu drive-by download oraz ukrywania śladów modyfikacji stron przed użytkownikami o określonych adresach IP w celu uniknięcia wykrycia” – tłumaczą specjaliści Rapid7.

Artefakty ataków zabezpieczone przez firmę zajmującą się cyberbezpieczeństwem oraz wykorzystana infrastruktura wskazują na techniki typu watering hole, stosowane wcześniej przez grupy APT37 i Lazarus. Ponadto ramy czasowe tej kampanii pokrywają się z okresem trwania operacji SyncHole (przypisywanej w ubiegłym roku grupie Lazarus), co sugeruje, że za opisywanymi działaniami również może stać podmiot z Korei Północnej.