Novo toolkit Linux é associado a ciberespionagem norte-coreana

Atores de ameaça associados à Coreia do Norte estão a utilizar um novo toolkit Linux em operações de ciberespionagem dirigidas aos setores automóvel e dos media na Coreia do Sul, segundo uma investigação da Rapid7.

Desenvolvido para permitir permanência prolongada nas infraestruturas comprometidas, o toolkit combina uma instância modificada do HAProxy, denominada “ted backdoor”, com versões trojanizadas de ferramentas como agetty, atd, crond, polkitd e sshd.

A framework permite executar comandos remotamente, recolher credenciais e injetar scripts no tráfego web. Segundo a Rapid7, a integração profunda com a infraestrutura das vítimas permite manter funções legítimas enquanto oculta a atividade maliciosa.

No caso da “ted backdoor”, o código é compilado como parte do HAProxy 2.8.12 presente no ambiente comprometido. A backdoor utiliza funcionalidades nativas do HAProxy, incluindo a API de filtros, memória, agendamento de eventos e gestão de processos, para intercetar tráfego sem impedir o funcionamento normal do balanceamento de carga.

A Rapid7 estima que o toolkit possa estar em utilização desde o final de 2024. Além da “ted backdoor”, inclui CurlRAT, um RAT baseado em curl, um keylogger para SSH e um stager responsável por preparar a instalação de outros componentes.

Nos ataques analisados, o acesso inicial a um servidor edge foi conseguido através da exploração de uma vulnerabilidade num portal de login de Groupware. O keylogger SSH permitiu posteriormente recolher credenciais e suportar o movimento lateral para sistemas internos.

O stager verifica a presença de crond ou HAProxy antes de instalar o CurlRAT. Em paralelo, a “ted backdoor” é colocada no balanceador HAProxy.

O CurlRAT contacta a infraestrutura de comando e controlo (C&C) a cada 12 horas para receber instruções. Entre as capacidades identificadas estão execução de comandos, alteração da configuração e disponibilização de uma shell PTY interativa.

A “ted backdoor” funciona como um plugin personalizado integrado diretamente no código-fonte do HAProxy e ligado ao parser HTTP do balanceador. Desta forma, pode intercetar e injetar tráfego HTTP, executar tarefas recebidas através do C&C e manter persistência.

A Rapid7 indica que os atacantes podem utilizar estas capacidades para roubar sessões através de cookies e credenciais, redirecionar utilizadores selecionados e realizar ataques drive-by download. O toolkit permite ainda ocultar páginas manipuladas a determinados intervalos de endereços IP para dificultar a deteção.

Na infraestrutura da campanha foram utilizados domínios registados em top-level domains (TLD) de baixo custo. O tráfego de distribuição dos payloads foi também dissimulado para se assemelhar a tráfego legítimo associado ao domínio de conteúdos estáticos pstatic.net da Naver.

A Rapid7 encontrou semelhanças entre os artefactos e infraestrutura analisados e técnicas de watering hole anteriormente associadas aos grupos APT37 e Lazarus. O período da campanha também coincide com a Operation SyncHole, atribuída anteriormente ao Lazarus.

Estes elementos levam a Rapid7 a apontar para um possível ator de ameaça norte-coreano. A investigação disponível, contudo, não permite uma atribuição definitiva da campanha a um grupo específico.