Den Einstieg verschafften sich die Angreifer laut Rapid7 über einen Edge-Server, indem sie eine Schwachstelle im Anmeldeportal einer Groupware-Lösung ausnutzten. Anschließend kam ein SSH-Keylogger zum Einsatz, der gleichzeitig als Staging-Server diente: Über die dort abgefangenen Zugangsdaten bewegten sich die Angreifer weiter in interne Systeme.
Ein Stager prüft zunächst, ob crond oder HAProxy auf dem System vorhanden sind. Nur dann installiert er CurlRAT — entweder aus dem eigenen Datenbereich oder nachgeladen vom Edge-Webserver. Parallel wird die als „ted backdoor" bezeichnete Hintertür auf dem HAProxy-Loadbalancer abgelegt.
Die Backdoor baut die Verbindung zur Kommando-Infrastruktur auf und dient dem Abfluss von Daten, dem Einschleusen von Skripten und der Befehlsausführung. Der Loadbalancer beginnt daraufhin, ausgewählte Clients, die über ihn surfen, umzuleiten oder ihnen schädliche Inhalte auszuliefern. Technisch handelt es sich um ein maßgeschneidertes HAProxy-Plugin, das innerhalb des HAProxy-Quellcodes kompiliert und direkt in den eingebauten HTTP-Parser eingehängt wird. Es kann HTTP-Verkehr abfangen und manipulieren, Aufträge der Steuerungsserver ausführen und sich dauerhaft im System halten.
CurlRAT, das auf curl aufsetzende Fernsteuerungswerkzeug, fragt die Kommandozentrale alle zwölf Stunden nach neuen Anweisungen ab. Es kann in seiner Konfiguration hinterlegte Befehle entschlüsseln und ausführen, eine neue Konfigurations-Nutzlast dekodieren und auf die Festplatte schreiben sowie eine vollständige interaktive PTY-Shell starten.
Zur Verschleierung registrierten die Angreifer Domains unter billigen Massen-Top-Level-Domains und mischten den Verkehr für die Auslieferung der Schadsoftware in normales Surfverhalten ein — unter anderem durch Nachahmung der Domain pstatic.net, über die Naver statische Inhalte ausliefert.
„Ted backdoor und CurlRAT wurden für dauerhafte Spionageoperationen entworfen. Sie können Cookie-Sitzungen und Zugangsdaten stehlen, ausgewählte Nutzer umleiten, Drive-by-Download-Angriffe durchführen und Spuren der manipulierten Seite für einen bestimmten IP-Bereich verbergen, um der Entdeckung zu entgehen", schreibt Rapid7.
Die sichergestellten Artefakte und die genutzte Infrastruktur verweisen nach Angaben des Unternehmens auf Watering-Hole-Techniken, die zuvor bei APT37 und Lazarus beobachtet wurden. Zudem überschneidet sich der Zeitraum der Kampagne mit dem der Operation SyncHole, die im vergangenen Jahr Lazarus zugeschrieben wurde. Rapid7 hält es daher für wahrscheinlich, dass ebenfalls ein nordkoreanischer Akteur hinter den Angriffen steht.