HAProxy diventa un punto di intercettazione silenziosa
Rapid7 ha individuato un toolkit Linux legato alla Corea del Nord che usa una build trojanizzata di HAProxy 2.8.12 contro organizzazioni sudcoreane del settore automotive e media. Il punto non è il semplice server compromesso: il proxy resta nel percorso del traffico e continua a far passare il servizio, mentre l’attaccante legge e altera sessioni senza farsi notare.
Il backdoor si aggancia ai normali hook di HAProxy, così il bilanciamento continua a funzionare e il codice malevolo può registrare traffico sensibile, rubare cookie di sessione e decidere quando iniettare script nel contenuto servito. In parallelo compaiono un SSH keylogger e un curl-based RAT, segno di una presenza pensata per sorveglianza prolungata più che per un colpo rapido.
Per chi usa HAProxy o altri edge Linux come punto di fiducia, una compromissione del proxy va trattata come esposizione di credenziali e contenuti, non come un guasto di routing. Questo schema rompe la verifica più rassicurante ma più debole: il servizio può restare su mentre la compromissione è già dentro il flusso.