(in)sicurezza digitale

2026-09-08 10:25:02

crond, sshd, polkitd: la backdoor nordcoreana Ted infetta i demoni Linux nascosta dentro HAProxy

Si parla di:
Toggle

Per mesi, sui server compromessi, tutto sembrava normale: crond eseguiva i suoi cron job, sshd gestiva le sessioni SSH, polkitd autorizzava le richieste di privilegio. Nessun allarme, nessun processo sospetto in ps aux. Il problema è che quei binari non erano più quelli originali: erano trojan, ricompilati ad arte per comportarsi in tutto e per tutto come i demoni Linux che sostituivano, mentre in sottofondo intercettavano traffico, rubavano credenziali ed eseguivano comandi da remoto. È il cuore di una nuova campagna di cyberspionaggio attribuita con moderata confidenza ad APT37, cluster nordcoreano da tempo associato al Reconnaissance General Bureau di Pyongyang, e documentata da Rapid7 in un report pubblicato il 4 settembre 2026.

Un impianto che vive dentro HAProxy

Il fulcro tecnico della campagna è Ted, una backdoor che gli analisti di Rapid7 hanno trovato compilata direttamente all’interno di un binario HAProxy 2.8.12 — non sfruttando una vulnerabilità del reverse proxy, ma sostituendo l’eseguibile legittimo con una build modificata che conserva la stessa identica stringa di versione. Per un amministratore che controlla haproxy -v, non c’è alcun segnale di allarme: il software dichiara la release ufficiale del 8 novembre 2024, mentre il progetto open source è nel frattempo arrivato alla 2.8.28 (27 agosto 2026), sedici release più avanti. Un dettaglio che dice molto sulla pazienza dell’operazione: gli offset dell’impianto sono fissati su quella specifica build, il che implica ricognizione preventiva dell’ambiente target prima della compromissione.

Una volta operativa, Ted si comporta come un vero e proprio proxy malevolo integrato nel flusso di traffico legittimo. Si attiva tramite una richiesta HTTP GET verso un path specifico, apre un socket raw restituendo un header HTTP/1.0 200 OK per non destare sospetti in eventuali sistemi di monitoraggio, e riceve comandi attraverso una named pipe creata in /tmp. Per evitare di comparire nelle metriche di connessioni attive del reverse proxy, l’impianto decrementa manualmente i contatori interni di HAProxy — un accorgimento chirurgico pensato specificamente per chi analizza i log delle connessioni alla ricerca di anomalie. Il filtraggio delle richieste in ingresso è altrettanto sofisticato: whitelist di IP a livello di /24, controllo dello User-Agent, pattern URL specifici, referer e persino l’header Accept-Language, tutti elementi che rendono la backdoor praticamente invisibile a chi non conosce esattamente come “bussare”.

Un intero ecosistema di demoni troianizzati

Ted non opera da sola. Rapid7 ha documentato la sostituzione sistematica di altri servizi di sistema Linux — crond, sshd, agetty e atd — con versioni modificate che mantengono la piena funzionalità originale aggiungendo capacità di raccolta credenziali e intercettazione. Il caso più insidioso riguarda sshd: la versione compromessa cattura le credenziali digitate durante le sessioni SSH legittime, offrendo agli operatori un canale di raccolta password parallelo e silenzioso ogni volta che un amministratore si autentica sul sistema. Per completare l’occultamento, gli attaccanti falsificano i timestamp dei binari sostituiti richiamando /usr/bin/ssh e ripuliscono selettivamente bash history, auth.log e audit/audit.log, rimuovendo solo le righe contenenti stringhe rivelatrici come “tmp”, “wget” o “cron” — non un wipe totale, che sarebbe sospetto, ma una potatura chirurgica pensata per non alterare il “rumore di fondo” normale del sistema.

Ad affiancare Ted opera CurlRAT, un impianto companion che comunica via richieste HTTP camuffate da traffico curl legittimo. Il beacon di default avviene ogni 12 ore, ma può scendere a 30 secondi quando l’operatore lo richiede — un compromesso classico tra basso rumore in fase di sorveglianza passiva e reattività quando serve agire in fretta. CurlRAT include inoltre controlli anti-analisi: verifica la presenza di ambienti virtualizzati prima di eseguire il proprio payload, un accorgimento comune per evitare l’esecuzione in sandbox di threat intelligence. Rapid7 sottolinea che si tratta di un tool distinto dal similmente denominato CurlBack RAT, attribuito al gruppo pakistano SideCopy — una precisazione utile per evitare errori di attribuzione tra cluster non correlati.

Le vittime e l’incertezza sull’accesso iniziale

Le organizzazioni colpite finora identificate sono due, entrambe sudcoreane: una attiva nel settore automotive, l’altra nei media. Numeri contenuti, ma coerenti con lo stile chirurgico e mirato che da anni contraddistingue APT37 (noto anche come ScarCruft o Reaper), tradizionalmente concentrato su target che possano fornire intelligence politica, economica o industriale utile a Pyongyang. Rapid7 ipotizza, senza però poterlo confermare con certezza, che l’accesso iniziale sia avvenuto tramite un portale Groupware vulnerabile — un vettore già osservato in precedenti campagne nordcoreane contro obiettivi sudcoreani.

Sul fronte attribuzione, il quadro resta volutamente prudente. Rapid7 assegna la campagna ad APT37 con “moderata confidenza”, ma segnala sovrapposizioni nel modello di delivery con Lazarus e possibili legami nell’accesso iniziale con Kimsuky. Non è una novità: già nel 2023 Mandiant aveva documentato tooling condiviso e targeting sovrapposto tra i vari cluster nordcoreani, un fenomeno che rende l’attribuzione granulare un esercizio sempre più complesso — e che probabilmente riflette una condivisione di risorse tra unità operative diverse dello stesso apparato di intelligence, più che un errore di analisi.

Due righe per i difensori

Il campanello d’allarme principale di questa campagna è metodologico, prima ancora che tecnico: la troianizzazione di binari di sistema che restano pienamente funzionali rende inutile qualsiasi controllo basato solo sulla disponibilità del servizio o sulla stringa di versione. I team di detection dovrebbero orientarsi verso il file integrity monitoring (FIM) con baseline note-buone dei binari critici (sshd, crond, polkitd, agetty, atd) e verifica degli hash rispetto alle distribuzioni ufficiali, oltre al monitoraggio di connessioni HTTP anomale generate dallo stesso processo di reverse proxy verso domini di recente registrazione. La presenza di named pipe non standard in /tmp e di cache file con naming pattern insoliti (come haproxy-1000.cache) sono ulteriori segnali da cercare attivamente nei sistemi esposti a Internet. Rapid7 non ha ancora pubblicato regole di detection formali, il che rende la caccia manuale basata sugli IoC ancora più rilevante nell’immediato.

Per chi gestisce infrastrutture Linux esposte, in particolare reverse proxy e application server raggiungibili da Internet, il messaggio è chiaro: la sola disponibilità e il comportamento apparentemente corretto di un servizio non bastano più come prova di integrità. Servono verifica crittografica dei binari e monitoraggio comportamentale continuo, non solo controlli di uptime.

Indicatori di compromissione

[Domini C2]
img.monderhouse[.]space
img.smartnords[.]site
img.darklights[.]store
img.responsive.pstatic[.]autos
img.socialteams[.]store
img.worksongo[.]store

[File sospetti]
~/cache/haproxy-1000.cache
/var/lib/sshd/c8c68e629bba773a10ac80012d10bf19
/var/lib/snapd/g580
/tmp/jasper-log

[Hash SHA-256]
72e70936f0dbe459142a1d867617c35f8d0cce5d18c6a49e1090a2a5adc8e558
4bb923eb040aa13ca8fd409c31ee4729c60ddff32e350efe1c5a4a9168a065f5

[Servizi target della troianizzazione]
crond, sshd, agetty, atd, polkitd

[Versione HAProxy con offset noti]
2.8.12 (rilasciata 8 novembre 2024)

Fonti: Rapid7 Threat Intelligence, “DPRK APTs: Ted backdoor and curlRAT target South Korean media and automotive sectors” (4 settembre 2026); The Hacker News; Mandiant (2023) sulle sovrapposizioni tra cluster nordcoreani.

ssh

^{insicurezzadigitale.com}