Um conjunto inédito e altamente furtivo de ferramentas maliciosas para sistemas Linux foi identificado em operações direcionadas contra as indústrias automotiva e de mídia na Coreia do Sul. A ofensiva cibernética utiliza técnicas avançadas de evasão e persistência, operando por meio da adulteração de utilitários legítimos do sistema operacional e de instâncias do balanceador de carga HAProxy em uma campanha atribuída a grupos de ameaça persistente avançada (APT) vinculados à Coreia do Norte.
Integração profunda e adulteração do HAProxy
O principal diferencial da ameaça é o nível de integração com a infraestrutura das vítimas. Os invasores recompilaram o balanceador de carga HAProxy versão 2.8.12 para incorporar um módulo espião apelidado de ted backdoor. Esse componente opera diretamente no fluxo legítimo da aplicação ao utilizar a API nativa de filtros, filas de eventos e a infraestrutura de gerenciamento de memória do próprio software.
Ao se conectar diretamente ao analisador HTTP interno do servidor, o implante monitora requisições de alto valor em tempo real, como acessos a painéis administrativos e portais corporativos de autenticação. A partir dessas interceptações, o código malicioso consegue roubar cookies de sessão e dados de navegação. Caso a requisição atenda a critérios específicos definidos pelos operadores, o software injeta scripts maliciosos nas páginas entregues aos usuários, viabilizando ataques do tipo watering hole.
Para evitar detecções por equipes de segurança, o artefato manipula os contadores internos de conexões ativas do balanceador, zerando métricas e limpando registros antes que os dados cheguem aos servidores de aplicação (backend), garantindo que as ações hostis nunca apareçam nos arquivos de log convencionais.
Módulos trojanizados e espionagem persistente
Paralelamente ao comprometimento do tráfego web, os invasores distribuíram versões modificadas de utilitários essenciais do Linux, incluindo crond agetty atd sshd e polkitd. A cadeia de infecção conta com um stager dedicado, responsável por verificar privilégios de administrador (root), mapear a distribuição do sistema (com suporte a versões de CentOS e Ubuntu) e substituir os binários legítimos.
O instalador também adota medidas severas de antiforense. Ele aplica timestomping no utilitário de agendamento de tarefas para igualar sua data de criação à do binário do SSH e purga termos específicos de registros vitais do sistema, como audit.log, syslog e o histórico do bash, camuflando-se sob arquivos temporários que simulam processos do Apache Tomcat.
Entre os recursos implantados está um keylogger para SSH capaz de interceptar senhas em texto puro inseridas por usuários legítimos durante autenticações no servidor, armazenando-as criptografadas em diretórios protegidos antes do envio ao servidor remoto.
O papel do curlRAT e monitoramento ativo
Outro elemento central da investida é o curlRAT um cavalo de Troia de acesso remoto embutido no serviço de tarefas agendadas. O malware comunica-se periodicamente com servidores de comando e controle (C2) utilizando a biblioteca libcurl para transferir dados via requisições HTTP e HTTPS.
O implante disponibiliza múltiplos modos de operação para os atacantes, permitindo:
Execução remota de comandos no sistema operacional;
Abertura de conexões reversas com privilégios de root (reverse shell e PTY interativo);
Download e instalação de novos arquivos ou módulos secundários;
Transmissão contínua de dados de reconhecimento e inventário do host comprometido.
O malware ainda executa uma rotina em segundo plano dedicada exclusivamente a verificar a saúde do processo do HAProxy. A cada hora, essa rotina lê o identificador do processo (PID) e envia relatórios de telemetria aos operadores, sinalizando se o balanceador de carga foi reiniciado, finalizado ou recarregado.
Infraestrutura de ataque e atribuição
A vetorização inicial dos ataques aparenta explorar vulnerabilidades em servidores de borda expostos à internet, em especial aplicações de Groupware e servidores de correio eletrônico corporativo, plataformas amplamente utilizadas por companhias sul-coreanas. O perfil dos alvos, aliado à sobreposição tática observada na exploração dessas tecnologias, aponta para operadores patrocinados por Pyongyang.
A campanha guarda fortes semelhanças operacionais com ações documentadas de agrupamentos como APT37 e Lazarus incluindo o uso de cifras de substituição personalizadas, algoritmos de criptografia XOR combinados com codificação Base64 e o registro de domínios com prefixos que imitam redes de distribuição de conteúdo (CDN) populares na Coreia do Sul, como os serviços de conteúdo estático da plataforma Naver.
O caso reforça a tendência de agentes estatais mirarem componentes perimetrais de rede. Para conter ameaças dessa magnitude, especialistas recomendam que equipamentos de borda e balanceadores de carga recebam os mesmos controles rigorosos aplicados a servidores centrais, priorizando inspeção contínua de integridade de arquivos, auditoria comportamental em memória e correlação externa de tráfego.