Солтүстік Корея хакерлері HAProxy арқылы Оңтүстік Корея БАҚ және автокөлік желілерін бұзды
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
Солтүстік Кореяның мемлекеттік хакерлері ашық HAProxy жүктеме теңгергіші арқылы Оңтүстік Кореяның медиа және автомобиль компанияларын бұзып, 2025 жылдың басынан бері кейбір желілерге қол жеткізді. Rapid7 шабуылдарды APT37 тобына орташа сенімділікпен жатқызды, командалық серверлердің сәйкестігі мен нысандардың сипатын атап өтті. Бұзулар тіркелгі деректерін жинауға, трафикті қайта бағыттауға және ұзақ мерзімді тыңшылық үшін журналдарды бұрмалауға мүмкіндік берді.
Негізгі фактілер
- Rapid7 шабуылдарды Солтүстік Кореяның APT37 тобына орташа сенімділікпен жатқызды, бұған нысандар, обфускация және сәйкес келетін C2 серверлері негіз болды.
- Шабуылдаушылар HAProxy жүктеме теңгергіштерін бұзып, Linux TED құралын орнатты, осылайша шифрланбаған трафикке толық қол жеткізді.
- Кейбір құрбандар 2025 жылдың басынан бері бұзылған; операциялар тіркелгі деректерін жинауды, drive-by жүктеулерді және журналдарды өзгертуді қамтыды.
- Медиа және автомобиль секторларына бағытталу ақпараттық бақылау, қарсы барлау және өндірістік технологияларды ұрлау мақсаттарын көрсетеді.
Шабуылдың атрибуциясы
Rapid7 науқанды Солтүстік Кореяның APT топтарына орташа сенімділікпен жатқызды, нақтырақ айтқанда, InkySquid, ScarCruft және Ricochet Chollima деп те белгілі APT37 тобымен байланыстырды. Атрибуция нысандық секторларға, қарапайым обфускацияны қолдануға және APT37 бұрын пайдаланған командалық-басқару серверлерінің тізіміне негізделген. Аты-жөнін жасырған Rapid7 зерттеушілері медиакомпанияларға назар аудару бастапқы желілерге, жарияланбаған материалдарға және журналистердің байланыстарына қол жеткізуге мүмкіндік беретінін атап өтті. Автомобиль компаниялары өз кезегінде өндірістік зияткерлік меншік пен технологияларға апаратын қақпа бола алады.
Бұзу әдісі
Шабуылдаушылар HAProxy One корпоративтік өнімінің өзегі болып табылатын ашық HAProxy жүктеме теңгергішін бұзды. Теңгергіш сүзгісінің API-ін пайдаланып, топ шифрланбаған ашық мәтінге тікелей қол жеткізді, осылайша «ортадағы адам» шабуылының қажеттілігін болдырмады. Олар TED деп аталатын, анықталуы қиын Linux құралын орнатты, ол өндірістік инфрақұрылымға енгізіледі, онымен қатар жұмыс істемейді. Желілік құрылғыларда бекігеннен кейін шабуылдаушылар ұзақ мерзімді тыңшылық жүргізді, оған тіркелгі деректерін жинау, жекелеген пайдаланушыларды қайта бағыттау, drive-by жүктеулер және іздерді жасыру үшін журналдарды өзгерту кірді.
Стратегиялық мақсаттар
Rapid7 талдауы кем дегенде екі қатарлас мақсатты болжайды: медиа тарапынан ақпараттық бақылау мен қарсы барлау, сондай-ақ автокөлік өнеркәсібі тарапынан өндірістік технологияларды барлау. Шабуыл КХДР-дың тұрақты үлгісіне сәйкес келеді: сенімді бағдарламалық қамтамасыз ету немесе ашық инфрақұрылым арқылы бастапқы қол жеткізу, ұзақ уақыт болу, тіркелгі деректерін жинау және нақты кәсіби қауымдастықтарға қарсы watering-hole әдістері. Солтүстік Корея хакерлері бұған дейін қаржы компанияларына шабуыл жасады, олар 2026 жылы ұрланған криптовалютаның басым бөлігін құрады. Басқа бұрынғы шабуылдарда дипфейк әскери куәліктер мен Оңтүстік Корея елшілігі қызметкерлеріне қарсы дәстүрлі мақсатты фишинг қолданылды.
1 дереккөз
Уақыт · артта қалуы