💰 КНДР встроила бэкдор прямо в HAProxy | Команды проходят через балансировщик незаметн...
💰 КНДР встроила бэкдор прямо в HAProxy | Команды проходят через балансировщик незаметно для логов Северокорейские хакеры перекомпилировали HAProxy с встроенным бэкдором Ted, заменили легитимный бинарник на двух корейских серверах и инфраструктура продолжала работать как обычно, только весь трафик теперь проходил через их код. — Специальный HTTP-запрос переводит Ted в C&C-режим: запрос перехватывается прямо на уровне балансировщика, в бэкенд не доходит, в логи не попадает, ответ выглядит как обычный 200 OK. Для избранных посетителей Ted подменял страницы — watering hole внутри сервера жертвы — проверяя User-Agent, IP и Referer. Рядом нашли троянизированные crond, sshd и curlRAT с PTY-шеллом. Инфраструктура пересекается с APT37, Lazarus и Kimsuky – атрибуция к КНДР со средней уверенностью. 🎤 Чтиво #TedBackdoor #HAProxy #DPRK / White Hat / max.ru/kind_hack