Überprüfen Sie alle HAProxy-Installationen auf Anzeichen einer Kompromittierung, insbesondere auf unerwartete Code-Änderungen oder unbekannte Module.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Lieferketten-Kompromittierung — Thema: trojanized | Ereignisbeleg: victim, victims+10
- 3 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
New Ted Backdoor Hides Inside Victims' Own HAProxy Builds to Intercept Web Traffic
Ein neues Linux-Toolkit namens „Ted“ wurde entdeckt, das direkt in die HAProxy-Builds südkoreanischer Organisationen integriert wurde. Es fängt Web-Traffic ab und manipuliert Webseiten für ausgewählte Besucher. Betroffene Organisationen sollten ihre HAProxy-Installationen auf Kompromittierung prüfen und nach Hinweisen auf Code-Ausführung suchen.
SecBoard-Einordnung
Organisationen, die HAProxy als Reverse-Proxy oder Load Balancer einsetzen, könnten anfällig für die Manipulation von Web-Traffic und die Bereitstellung gefälschter Inhalte sein. Dies kann zu Datenlecks, Rufschädigung und weiteren Kompromittierungen führen.
Realistisch schlimmster Fall: Angreifer könnten über manipulierte HAProxy-Instanzen sensible Daten abfangen, Anmeldeinformationen stehlen oder Besucher auf bösartige Websites umleiten, ohne dass die Organisation dies sofort bemerkt. Dies könnte zu weitreichenden finanziellen und reputativen Schäden führen.
Empfehlung: Überprüfen Sie alle HAProxy-Installationen auf Anzeichen einer Kompromittierung, insbesondere auf unerwartete Code-Änderungen oder unbekannte Module. Suchen Sie nach Hinweisen auf vorherige Code-Ausführung auf den HAProxy-Hosts.
Im erfassten Bestand
- ▸3. erfasste Meldung zu APT37 innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Südkoreanische Organisationen, insbesondere solche, die HAProxy verwenden. Die Telekommunikationsbranche ist eine der betroffenen Branchen.
Prüfen
3- ▸Überprüfen Sie die Integrität Ihrer HAProxy-Binärdateien und Konfigurationsdateien auf unerwartete Änderungen oder unbekannte Module.
- ▸Überwachen Sie den Netzwerkverkehr, der durch HAProxy geleitet wird, auf ungewöhnliche Muster oder Manipulationen von HTTP-Antworten.
▸ 1 weitere▾ weniger
- ▸Suchen Sie in den Systemprotokollen der HAProxy-Hosts nach Anzeichen für unautorisierte Code-Ausführung oder verdächtige Prozessaktivitäten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen Methoden der Code-Ausführung, die für die Einbettung von Ted in HAProxy verwendet wurden, sind nicht detailliert.
- ▸Die genauen Ziele der Angreifer (z.B. Datendiebstahl, Spionage) sind nicht explizit genannt.
- ▸Die genaue Anzahl der betroffenen Organisationen ist nicht angegeben, nur dass es sich um zwei südkoreanische Organisationen handelt.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„intercepts web traffic and serves altered pages to specific visitors“
„embedded within the HAProxy builds“
„manipulates Webseiten für ausgewählte Besucher“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.