Nordkoreanisches Spionage-Toolkit: HAProxy-Backdoor tarnt sich als Linux-Dienst
Veröffentlicht am: 08.09.2026 um 08:05 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten des IT-Sicherheitsunternehmens Rapid7 haben ein neues nordkoreanisches Spionage-Toolkit identifiziert, das gezielt Organisationen in Südkorea angreift. Die unter dem Namen „ted“ geführte Schadsoftware wurde in den Netzwerken eines Automobilherstellers sowie eines Medienunternehmens entdeckt. Im Zentrum der Kampagne steht eine manipulierte Version der Open-Source-Software HAProxy 2.8.12, die als Backdoor fungiert.
Die Experten ordnen das Toolkit mit mittlerer Zuversicht den staatlich gesteuerten Akteuren APT37 oder der Lazarus-Gruppe zu. Die Untersuchungen ergaben, dass die Angreifer keine Sicherheitslücke im herkömmlichen Sinne ausnutzten, sondern eine modifizierte, bereits kompilierte Version des Loadbalancers in die Infrastruktur der Opfer einschleusten.
Tarnung durch modifizierte Linux-Systemdienste
Das Toolkit zeichnet sich durch eine hohe Persistenz und Tarnfähigkeit aus. Die Backdoor „ted“ ist direkt in die HAProxy-Software integriert und manipuliert unter anderem deren Statistiken, um unentdeckt zu bleiben. Darüber hinaus nutzt die Schadsoftware die SSL-Entschlüsselung des Loadbalancers aus, um den Datenverkehr mitzulesen und Informationen abzugreifen.
Um den Zugriff langfristig abzusichern, ersetzten die Angreifer verschiedene legitime Linux-Systemdienste durch trojanisierte Versionen. Davon betroffen sind laut dem Analysebericht Dienste wie crond, sshd, agetty, atd und polkitd.
Diese Modifikationen ermöglichen nicht nur die Fernsteuerung der infizierten Systeme durch Remote-Befehle, sondern auch das sogenannte Credential-Harvesting, bei dem systematisch Zugangsdaten gesammelt werden. Ein integrierter SSH-Keylogger unterstützt diesen Prozess durch das Protokollieren von Tastatureingaben bei Fernwartungsverbindungen.
Wer sich mit der Abwehr solch hochkomplexer Cyberangriffe befasst, findet in diesem kostenlosen E-Book wertvolle Informationen zu aktuellen Bedrohungstrends und präventiven Schutzmaßnahmen. IT-Sicherheits-Guide für Unternehmen kostenlos herunterladen
Einstieg über Groupware-Portale und Langzeit-Überwachung
Der Erstzugang zu den Netzwerken der südkoreanischen Unternehmen erfolgte über Login-Portale für Groupware-Lösungen. Dabei setzten die Akteure auf eine sogenannte Watering-Hole-Technik, um die Systeme der Mitarbeiter zu infizieren.
Nach der erfolgreichen Kompromittierung kam unter anderem das Werkzeug „CurlRAT“ zum Einsatz. Dieses Schadprogramm ist so konfiguriert, dass es alle 12 Stunden einen Kontakt zum Command-and-Control-Server (C&C) herstellt, um neue Anweisungen entgegenzunehmen oder gestohlene Daten zu übertragen.
Die Analyse der zeitlichen Abläufe deutet darauf hin, dass das Toolkit bereits seit Ende 2024 aktiv ist. In den aktuell untersuchten Fällen blieb die Infektion über einen Zeitraum von neun bis zehn Monaten unentdeckt. Rapid7 stellt zudem fest, dass die Angriffsmethoden deutliche Überschneidungen mit der bereits bekannten „Operation SyncHole“ aufweisen, die ebenfalls der Lazarus-Gruppe zugerechnet wird.
Angesichts immer raffinierterer Methoden staatlich gesteuerter Hacker-Gruppen ist eine proaktive Absicherung der IT-Infrastruktur für Firmen unerlässlich. Dieser Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und technischen Risiken Unternehmer heute kennen müssen. Kostenlosen Cyber-Security-Report jetzt sichern
Da der Angriff nicht auf einem klassischen Software-Fehler, sondern auf dem Austausch legitimer Binärdateien gegen bösartigen Code basiert, ist kein herkömmlicher Sicherheitspatch verfügbar. Administratoren wird empfohlen, die Integrität ihrer installierten Dienste und Loadbalancer-Konfigurationen zu überprüfen.
Das Toolkit ermöglicht zudem Script-Injektionen, was die Komplexität der Bereinigung betroffener Systeme erhöht. Im Gegensatz zu vielen anderen Cyberangriffen wurde bei dieser Kampagne kein separater Webshell eingesetzt, was die Entdeckung durch gängige Sicherheitsscanner zusätzlich erschwerte.
