Исследователи из Rapid7 обнаружили новый Linux-инструментарий для кибершпионажа, который уже использовался против двух южнокорейских организаций из автомобильной и медийной отраслей. Главной находкой стал бэкдор Ted, встроенный в модифицированную сборку балансировщика нагрузки HAProxy.

По данным специалистов, злоумышленники не эксплуатировали уязвимости в самом HAProxy, а распространяли заранее изменённую версию легитимного инструмента. Такой подход позволяет вредоносному коду маскироваться под обычный системный процесс и затрудняет обнаружение средствами защиты.

Бэкдор Ted обеспечивает удалённый доступ к скомпрометированной системе и, вероятно, используется для долговременного присутствия в инфраструктуре жертвы. Атаки на организации в Южной Корее указывают на целенаправленный характер кампании, а не на массовое распространение.

Отмечается, что использование популярного open-source софта в качестве контейнера для вредоносной нагрузки — растущая тенденция. Подмена сборок и компрометация цепочек поставок позволяют атакующим обходить проверки, ориентированные на сигнатуры известных угроз.

Rapid7 уже опубликовала технические детали находки, включая индикаторы компрометации, чтобы помочь защитникам выявлять заражённые системы. Организациям рекомендуется проверять целостность используемых сборок HAProxy и сверять их с официальными источниками.

В ближайшее время вероятны дополнительные сообщения о жертвах кампании, а также обновления правил обнаружения у поставщиков решений безопасности.