Una nueva puerta trasera de Ted se oculta en las propias compilaciones de HAProxy de las víctimas para interceptar el tráfico web

Se ha des­cu­bier­to un con­jun­to de he­rra­mien­tas para Linux que opera ocul­to den­tro de ver­sio­nes mo­di­fi­ca­das de los equi­li­bra­do­res de carga HA­Proxy en dos en­ti­da­des de Corea del Sur, per­te­ne­cien­tes a los sec­to­res de me­dios y au­to­mo­triz. Esta ame­na­za, de­no­mi­na­da "ted" por sus crea­do­res en ca­de­nas de de­pu­ra­ción, no ex­plo­ta vul­ne­ra­bi­li­da­des del pro­pio soft­wa­re, sino que re­quie­re que los ata­can­tes ten­gan eje­cu­ción de có­di­go en el sis­te­ma afec­ta­do para re­em­pla­zar el bi­na­rio en eje­cu­ción. Las co­mu­ni­ca­cio­nes de co­man­do y con­trol están di­se­ña­das para no lle­gar a los ser­vi­do­res de bac­kend ni dejar ras­tro en los con­ta­do­res y re­gis­tros de es­ta­dís­ti­cas del equi­li­bra­dor.

El im­plan­te fil­tra las pe­ti­cio­nes me­dian­te una ruta es­pe­cí­fi­ca de ima­gen y per­mi­te rea­li­zar di­ver­sas ac­cio­nes como car­gar y des­car­gar ar­chi­vos, eje­cu­tar co­man­dos de shell y ac­tua­li­zar su con­fi­gu­ra­ción, ade­más de mo­di­fi­car el con­te­ni­do y la lon­gi­tud de las res­pues­tas web en­via­das a vi­si­tan­tes se­lec­cio­na­dos. Las co­ne­xio­nes se ocul­tan ma­ni­pu­lan­do los con­ta­do­res del sis­te­ma y uti­li­zan­do un en­ca­be­za­do es­tán­dar para si­mu­lar trá­fi­co web le­gí­ti­mo. Asi­mis­mo, el kit in­clu­ye com­po­nen­tes adi­cio­na­les que re­co­pi­lan con­tra­se­ñas de ma­ne­ra ci­fra­da, ocul­tan ras­tros eli­mi­nan­do pa­la­bras clave del his­to­rial de co­man­dos y de re­gis­tros del sis­te­ma, y ope­ran junto a un tro­yano de ac­ce­so re­mo­to que re­quie­re la pre­sen­cia de un en­torno vir­tua­li­za­do.

Los in­ves­ti­ga­do­res atri­bu­yen esta ac­ti­vi­dad con con­fian­za media a ac­to­res fi­nan­cia­dos por el es­ta­do nor­co­reano, vin­cu­lan­do la in­fra­es­truc­tu­ra a tra­vés de dis­tin­tas fuen­tes pú­bli­cas y cam­pa­ñas pre­vias ob­ser­va­das en la re­gión. Dado que la téc­ni­ca se basa en la sus­ti­tu­ción de ar­chi­vos bi­na­rios le­gí­ti­mos y no en fa­llas del soft­wa­re, las ac­tua­li­za­cio­nes con­ven­cio­na­les no eli­mi­nan la ame­na­za por sí solas, por lo que se acon­se­ja im­ple­men­tar aná­li­sis de com­por­ta­mien­to en me­mo­ria, co­rre­la­ción de red y ve­ri­fi­ca­cio­nes de in­te­gri­dad.