Minacce · 54 giorni fa
Rapid7 ha individuato un toolkit Linux legato alla Corea del Nord che usa una build trojanizzata di HAProxy 2.8.12 contro organizzazioni sudcoreane del settore automotive e media. Il punto non è il semplice server compromesso: il proxy resta nel percorso del traffico e continua a far passare il servizio, mentre l’attaccante legge e altera sessioni senza farsi notare.
Il backdoor si aggancia ai normali hook di HAProxy, così il bilanciamento continua a funzionare e il codice malevolo può registrare traffico sensibile, rubare cookie di sessione e decidere quando iniettare script nel contenuto servito. In parallelo compaiono un SSH keylogger e un curl-based RAT, segno di una presenza pensata per sorveglianza prolungata più che per un colpo rapido.
Per chi usa HAProxy o altri edge Linux come punto di fiducia, una compromissione del proxy va trattata come esposizione di credenziali e contenuti, non come un guasto di routing. Questo schema rompe la verifica più rassicurante ma più debole: il servizio può restare su mentre la compromissione è già dentro il flusso.
1 fonte che coprono questa storia
DPRK APTs: Ted backdoor and curlRAT target South Korean media and automotive sectors
A new Linux toolkit, identified by Rapid7 Labs, has been targeting organizations across South Korea’s automotive and media industries with minimal detection.
Part of the PlainSec briefing for 2026-09-05