Северокорейские хакеры взломали сети южнокорейских СМИ и автопрома через HAProxy
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Северокорейские хакеры, связанные с государством, взломали южнокорейские медиа- и автомобильные компании через открытый балансировщик нагрузки HAProxy, получив доступ к некоторым сетям с начала 2025 года. Rapid7 с средней уверенностью приписала атаки группе APT37, указав на совпадение командных серверов и характер целей. Вторжения позволили собирать учётные данные, перенаправлять трафик и подделывать журналы для долгосрочного шпионажа.
Ключевые факты
- Rapid7 приписала атаки северокорейской группе APT37 со средней уверенностью на основе целей, обфускации и совпадающих C2-серверов.
- Злоумышленники скомпрометировали балансировщики нагрузки HAProxy, чтобы установить Linux-инструментарий TED, получив полный доступ к расшифрованному трафику.
- Некоторые жертвы были скомпрометированы с начала 2025 года; операции включали сбор учётных данных, drive-by загрузки и изменение журналов.
- Нацеленность на медиа- и автомобильный секторы указывает на цели информационного контроля, контрразведки и кражи производственных технологий.
Атрибуция атаки
Rapid7 приписала кампанию северокорейским APT-группам со средней уверенностью, конкретно связав её с APT37, также известной как InkySquid, ScarCruft и Ricochet Chollima. Атрибуция основана на целевых секторах, использовании простой обфускации и списке командно-контрольных серверов, совпадающих с ранее использовавшимися APT37. Исследователи Rapid7, пожелавшие остаться анонимными, отметили, что фокус на медиакомпаниях может дать доступ к исходным сетям, неопубликованным материалам и коммуникациям журналистов. Автомобильные компании, в свою очередь, могут служить воротами к производственной интеллектуальной собственности и технологиям.
Метод компрометации
Злоумышленники скомпрометировали открытый балансировщик нагрузки HAProxy, который также является ядром корпоративного продукта HAProxy One. Используя API фильтра балансировщика, группа получила прямой доступ к уже расшифрованному открытому тексту, избежав необходимости атаки «человек посередине». Они установили труднообнаруживаемый Linux-инструментарий под названием TED, который встраивается в производственную инфраструктуру, а не работает параллельно с ней. Закрепившись в сетевых устройствах, злоумышленники вели долгосрочный шпионаж, включая сбор учётных данных, перенаправление отдельных пользователей, drive-by загрузки и изменение журналов для сокрытия следов.
Стратегические цели
Анализ Rapid7 предполагает как минимум две параллельные цели: информационный контроль и контрразведка со стороны медиа, а также разведка производственных технологий со стороны автопрома. Атака соответствует устойчивой модели КНДР: первоначальный доступ через доверенное ПО или открытую инфраструктуру, длительное присутствие, сбор учётных данных и watering-hole техники против конкретных профессиональных сообществ. Северокорейские хакеры ранее атаковали финансовые компании, на которые пришлась львиная доля украденной криптовалюты в 2026 году. В других прошлых атаках использовались дипфейк-военные удостоверения и традиционный целевой фишинг против сотрудников посольства Южной Кореи.
1 источник
Время · отставание