Nach der Übernahme der Netzwerk-Appliances betrieb die Gruppe langfristige Spionage: Sie sammelte Zugangsdaten, leitete ausgewählte Nutzer um, führte Drive-by-Download-Angriffe durch und veränderte Logdateien, um Spuren zu verwischen.
Der Load Balancer ist aus Angreifersicht ein idealer Standort, erklärt das Forschungsteam von Rapid7: Dort endet die SSL-Verschlüsselung, die Komponente sitzt vor allen Anwendungen, und Load Balancer würden häufig von der Endpoint-Erkennung ausgenommen, weil man sie als Netzwerkgeräte und nicht als Server behandle. Über die Filter-API der Appliance erhalten die Angreifer direkten Zugriff auf bereits entschlüsselte Klartextkommunikation — ein klassischer Man-in-the-Middle-Angriff erübrigt sich. HAProxy bildet zugleich den Kern des kommerziellen Angebots HAProxy One.
Der genaue Einstiegspunkt ist nicht bekannt. Bei zwei Opfern, deren Identität Rapid7 nicht offenlegte, waren jedoch Edge-Webserver mit erreichbaren Groupware- und E-Mail-Anmeldeportalen im Einsatz. Da die nordkoreanische APT-Gruppe Kimsuky dafür bekannt ist, Opfer über Remote-Exploits gegen E-Mail-Server zu kompromittieren, hält Rapid7 diese Portale für den wahrscheinlichen Erstzugang. Ein übernommener Groupware-Server diente anschließend als Ausgangspunkt für die weiteren Angriffe und zum Abgreifen von Zugangsdaten.
Die Kompromittierung eines Load Balancers samt Einschleusen eigens kompilierten Codes in dessen Software bewertet Rapid7 als schrittweise Weiterentwicklung nordkoreanischer APT-Gruppen. Der Angriff “passt zu einem konsistenten Muster der Demokratischen Volksrepublik Korea: Erstzugang über vertrauenswürdige Software oder exponierte Infrastruktur, lange Verweildauer, Abgreifen von Zugangsdaten und Watering-Hole-Techniken gegen bestimmte Berufsgruppen”, so die Forscher. “TED geht einen Schritt weiter, indem es sich in die Produktionsinfrastruktur einbettet, statt daneben zu laufen.”
Technisch am bemerkenswertesten ist laut Rapid7 eine Routine, die die Zähler in den Logdateien bereinigt und so die Aktivität der Angreifer verbirgt. Das zeige, dass “jemand ernsthaft Zeit darauf verwendet hat, den HAProxy-Quellcode zu lesen und gegen eine laufende Instanz zu testen”.
Das Vorgehen sei das jüngste Beispiel für einen Trend weg von klassischer Schadsoftware hin zu bösartiger Funktionalität, die in legitimer Software versteckt wird. “Jüngste Kampagnen der DVRK haben sich von betriebssystemeigenen Werkzeugen, um keine Binärdateien abzulegen, über trojanisierte Installer legitimer Software bis hin zur direkten Einbettung in die Laufzeit von Produktionsinfrastruktur entwickelt”, sagen die Forscher. “TED überträgt diese Entwicklung auf einen Load Balancer.”
Das Aufspüren betroffener Geräte ist schwierig: “Der Implantat-Code erzeugt keine ungewöhnlichen Prozesse, keine unerwarteten ausgehenden Verbindungen und keine Logeinträge”, so Rapid7. Der Antwortpfad zum C2-Server schreibe direkt in den rohen TCP-Socket und umgehe damit das Logging-Subsystem von HAProxy; die manipulierten Zähler verhinderten, dass Monitoring-Dashboards Auffälligkeiten anzeigen.
CISOs in Südkorea und im asiatisch-pazifischen Raum rät Rapid7, Load Balancer und andere Netzwerk-Appliances genau zu prüfen — mit Integritätsprüfungen von Code-Bibliotheken und kompilierten Binärdateien, Auswertungen des Prozessspeichers sowie einem Abgleich zwischen Logs auf dem Gerät und außerhalb davon. “Jeder Load Balancer oder Reverse Proxy, der SSL-Terminierung übernimmt und zur Laufzeit geladene Module unterstützt, stellt unabhängig vom Hersteller dieselbe Angriffsfläche dar”, so die Forscher.