Analistas da Rapid7 identificaram uma operação sofisticada de espionagem cibernética atribuída a atores vinculados à Coreia do Norte. O ataque utiliza um toolkit Linux chamado Ted Backdoor e CurlRAT, focado em organizações de mídia e automotivas na Coreia do Sul. A atividade sugere um esforço de longo prazo para coleta de inteligência estratégica.
Descoberta e escopo da ameaça
A operação foi detectada após anomalias em servidores de borda que gerenciavam tráfego web. Ao contrário de ataques destrutivos, este toolkit foi projetado para permanecer oculto, infiltrando-se em componentes legítimos do sistema operacional. A análise forense indica que a atividade começou no início de 2025, permanecendo ativa por meses sem detecção.
Técnica de infecção e persistência
O componente central, o Ted Backdoor, é uma versão modificada do HAProxy 2.8.12. Em vez de ser um arquivo malicioso separado, ele é compilado diretamente no binário legítimo do balanceador de carga. Isso permite que o malware inspecione solicitações web descriptografadas enquanto o tráfego normal continua fluindo, dificultando a detecção baseada em comportamento.
O stager verifica a presença do HAProxy ou cron antes de substituir serviços essenciais como crond, agetty, atd, sshd e polkitd. Além disso, o malware remove palavras específicas dos logs para apagar rastros de sua presença, utilizando técnicas avançadas de ofuscação.
Capacidades do CurlRAT
O CurlRAT atua como a camada de controle remoto, pollando infraestrutura do atacante para receber tarefas. Ele pode executar comandos, enviar detalhes do sistema, instalar payloads adicionais e abrir shells reversos com privilégios elevados. Um watchdog monitora o HAProxy, reportando se o serviço inicia, para, recarrega ou reinicia, garantindo a continuidade da operação.
Indicadores de Comprometimento (IoCs)
Os pesquisadores listaram diversos hashes SHA-256 e domínios de comando e controle (C2) associados à campanha. Alguns domínios imitam serviços de entrega de imagens para evitar bloqueios, incluindo nomes que se assemelham a plataformas coreanas populares.
- Hashes Críticos: 94630b96f628c96a6bff7904b40ffc9ad67c86f8a4ff6080c3b524831c93f402 (Ted backdoor).
- Dominios C2: img.monderhouse.space, img.smartnords.site.
Riscos de Espionagem de Longo Prazo
A combinação de roubo de credenciais, coleta de sessões web, alteração seletiva de páginas e redirecionamento de tráfego aponta claramente para espionagem. O foco em setores estratégicos como mídia e automotivo reforça a motivação geopolítica da operação.
Recomendações para Defensores
As equipes de segurança devem revisar sistemas de borda que lidam com tráfego web, criptografia ou módulos de runtime. É essencial comparar binários de HAProxy e serviços Linux contra versões conhecidas, inspecionar bibliotecas compartilhadas inesperadas e alterar credenciais que possam ter passado por servidores afetados.
Perguntas frequentes
Como detectar essa ameaça? Monitoramento independente de rede é crucial, pois logs locais podem ter sido alterados.
Quais setores estão em risco? Organizações com servidores expostos nas portas 80, 443 e 25, especialmente na Ásia.