韓国企業を標的にHAProxyを改ざんする新種バックドア「ted」が発見される――ログや統計に残らない巧妙な通信手口
要点
- セキュリティ企業Rapid7が、韓国の自動車およびメディア関連組織で、負荷分散ソフト「HAProxy」を改ざんして組み込まれた新種バックドア「ted」を発見した。
- 「ted」は特定の画像パスへのリクエストをC2通信として処理し、接続カウンターを減算することで、バックエンドログや負荷分散の統計から通信の痕跡を完全に消去する。
- ターゲットを厳密に絞り込む4つの条件を満たした訪問者にのみ改ざんされたページを配信し、一般のユーザーには通常の応答を返す仕組みを持つ。
- root権限でのみ展開され、システムログやコマンド履歴の消去、正規バイナリの偽装、パスワードを窃取する改ざん版sshdなど複数のツール群と連携して動作する。
- Rapid7は一連のツールキットについて、中程度の確信度で北朝鮮の国家支援攻撃グループによるものと分析している。
セキュリティ企業の米Rapid7 Labsは2026年9月4日、韓国の2つの組織において、正規のロードバランサーを改ざんして不正なコードを埋め込む新種のLinux向けツールキットが確認されたとする調査レポートを公開した。この攻撃で標的となったのは同国の自動車セクターおよびメディアセクターの組織であり、バイナリ内のデバッグ文字列から「ted」と名付けられたインプラント（侵入先に常駐する不正プログラム）が検出されたという。Rapid7は、確証を得るにはさらなる証拠が必要としつつも、中程度の確信度をもって北朝鮮の国家支援ハッカー集団による攻撃と推定している。
ロードバランサーの統計やバックエンドログを回避するC2通信
今回発見された「ted」は、広く利用されているオープンソースの負荷分散・プロキシソフトウェア「HAProxy」のバイナリ自体に不正な機能を直接コンパイルしてトロイの木馬化したものだ。HAProxy自体の脆弱性を突いたものではなく、攻撃者が事前にホスト上でコード実行権限を獲得し、実行中のバイナリを置き換えることで設置される。
このバックドアの大きな特徴は、C2（攻撃者が侵入先を遠隔操作するための通信）の痕跡を徹底して隠蔽する点にある。外部から特定の画像パスを指定したリクエストが届くと、インプラントは自動的にC2モードへと切り替わる。その際、HAProxyがリアルタイムで管理しているアクティブ接続カウンターの数値を減算処理するため、ロードバランサーの統計データからその接続情報が除外される。
さらに、受信したコマンドの本文は /tmp ディレクトリ下の名前付きパイプ（プロセス間でデータを送受信するための仮想ファイル）へと書き出され、リクエストチャネル自体はゼロクリアされる。その結果、リクエストは背後のバックエンドサーバーへ一切転送されず、ロードバランサーとバックエンドの双方のログに通信記録が残らない。攻撃者への実行結果の返信は、標準的な HTTP/1.0 200 OK ヘッダーを付与したRawソケット経由で返されるため、ネットワーク上では通常のWebトラフィックと区別がつかないよう偽装される。攻撃者はこの経路を通じて、ビーコン送信、ファイルの送受信、任意のシェルコマンド実行、設定の書き換えなどを行うことが可能だという。
4つの条件で特定の訪問者にのみ改ざんページを配信
「ted」は遠隔操作だけでなく、アクセスしてきたユーザーに対して改ざんしたWebページを配信する機能も備えている。ただし、無差別に改ざんページを表示するのではなく、以下の4つの厳格な条件をすべてクリアしたリクエストのみを対象とする。
- リクエスト内に
User-Agentヘッダーが含まれていること - アクセス先のURLパターンおよび参照元を示す
Refererヘッダーの双方が、事前に設定されたルールに合致していること - 送信元IPアドレスがホワイトリストに登録されていること（完全一致または
/24のサブネット単位で照合） - または、上記のアドレス制限を無効化する特定のオペレーター用キーが
Accept-Languageヘッダーに含まれていること
条件に合致した通信に対しては、インプラントがレスポンスの Content-Type と Content-Length を動的に書き換え、HTTPステータスを強制的に 200 に設定して改ざんコンテンツを返す。その際、クライアントがファイルの一部分のみを要求してファイルサイズの変化に気づくのを防ぐため、Accept-Ranges ヘッダーを意図的に削除する処理も組み込まれている。
root権限の確認とログ改ざんによる痕跡隠蔽
Rapid7の報告によると、攻撃者が最初にシステムへ侵入した経路や正確なタイムラインを特定するための十分な証拠はまだ揃っていない。ただし、韓国企業で広く使われているグループウェア（企業内の情報共有や業務を支援する統合ソフトウェア）の脆弱性を悪用した過去の攻撃事例（セキュリティ企業ENKIによるKimsukyの事例分析）を踏まえ、グループウェア経由で侵入した可能性が仮説として提示されている。
マルウェアを展開するステージャーは、システム上でHAProxyまたは定期実行サービス「cron」が稼働していることを確認し、さらに実行ユーザーがroot権限であることを検証した場合にのみ活動を開始する。正規の crond バイナリを改ざん版で上書きした際には、タイムスタンプを /usr/bin/ssh と同じ日時に改ざんして偽装する工作を行っていた。加えて、rootユーザーのコマンド履歴（.bash_history）や、auth.log、audit/audit.log を含む6つの主要なシステムログから、「tmp」「wget」「cron」「crond」といった攻撃活動に関わる特定のキーワードを一括して削除していた。
このツールキットにはHAProxy以外にも複数の改ざんバイナリが含まれており、認証デーモンである sshd の改ざん版では、入力された平文のパスワードを暗号化して固定のファイルパスへと保存する機能が確認された。同様の不正コードは agetty、atd、polkitd などの各種システムバイナリからも見つかっている。
関連RAT「curlRAT」と脅威グループの特定
今回の調査では、一連のツールキットとともに「curlRAT」と呼ばれる関連のRAT（遠隔操作型トロイの木馬）も特定された。このRATは仮想環境上で動作していることを示すマーカーファイルが存在する場合にのみ動作し、通常時は12時間ごと、攻撃者がフラグを設定した場合は30秒間隔でC2サーバーへビーコン通信を行う。なお、このマルウェアはパキスタン関連の攻撃グループ「SideCopy」が使用する「CurlBack RAT」とは異なる別系統のものだとしている。
Rapid7は、検出された不審なドメインやファイルパスなどのIoC（セキュリティ侵害の痕跡情報）を公開した。同社が挙げた6つのC2ドメイン（img.monderhouse[.]space など）について、The Hacker Newsが9月4日に検証したところ、いずれも名前解決ができずNXDOMAIN（存在しないドメイン）を返す状態となっており、リアルタイムの通信遮断というよりは過去のアクセスログを精査するための手がかりとして有用だという。また、これらのドメインはオープンソースの脅威情報プロジェクト「maltrail」において、北朝鮮の脅威グループ「APT37」のインフラとして登録されていた記録があることも確認されている。