Backdoor Linux 'Ted' Menyusup di Load Balancer HAProxy: Membajak Lalu Lintas Web dan Menghapus Jejak Log

Infiltrasi Tingkat Lanjut pada Lapisan Load Balancer

Peneliti keamanan siber dari Rapid7 Labs mengungkap keberadaan toolkit spionase Linux canggih yang diberi nama Ted. Berbeda dari serangan konvensional yang mengeksploitasi celah aplikasi web, kelompok peretas mengompilasi implan berbahaya ini langsung ke dalam biner load balancer HAProxy pada sistem milik dua organisasi terkemuka di Korea Selatan (sektor otomotif dan media).

Melalui modifikasi biner (trojanized build), implan Ted mampu mencegat lalu lintas HTTP/HTTPS, mengeksekusi instruksi jarak jauh, menyuntikkan muatan eksploitasi ke pengunjung situs tertentu (watering-hole attack), dan menghapus jejak koneksi dari metrik statistik load balancer maupun log server backend.

Mekanisme C2 Siluman: Menghapus Jejak dari Statistik Server

Arsitektur komunikasi Command and Control (C2) Ted dirancang sangat rapi agar tidak terdeteksi oleh sistem pemantauan:

1. Aktivasi via Pola URL Gambar Khusus: Ketika menerima permintaan HTTP dengan path berkas gambar tertentu, filter internal Ted beralih ke mode eksekusi C2.
2. Manipulasi Metrik Koneksi (Counter Decrement): Implan secara otomatis menurunkan angka penghitung koneksi live pada HAProxy. Akibatnya, sesi koneksi penyerang terhapus dari statistik beban server.
3. Eksekusi via Named Pipe: Muatan perintah dialirkan ke *named pipe* di direktori /tmp. Setelah diproses, kanal request di-nolkan sehingga tidak ada paket data yang diteruskan ke server backend—membuat server aplikasi tidak memiliki catatan log sama sekali.
4. Respon Bertopeng HTTP Normal: Hasil eksekusi dikembalikan ke penyerang melalui raw socket dengan header standar HTTP/1.0 200 OK agar tersamarkan sebagai lalu lintas browsing biasa.

Targeting Korban Spesifik & Serangan Watering-Hole

Implan Ted menerapkan verifikasi ketat sebelum menyajikan halaman web yang dimanipulasi kepada pengunjung:

• Penyaringan IP & Header: Halaman modifikasi hanya disajikan kepada pengunjung yang IP-nya terdaftar dalam daftar target (pemeriksaan subnet /24) atau yang menyertakan token khusus pada header Accept-Language.
• Penghapusan Header Accept-Ranges: Implan secara sengaja menghapus header Accept-Ranges dari respons HTTP agar browser target tidak dapat meminta potongan *byte-range* yang berpotensi membongkar perubahan ukuran berkas akibat penyuntikan skrip jahat.

Persistensi Agresif, Trojan SSHD, dan Anti-Forensik

Toolkit Ted dibekali kemampuan persistensi dan anti-analisis yang agresif:

• Trojanisasi Layanan Kritis Sistem: Penyerang menimpa biner sah crond, sshd, agetty, dan polkitd. Biner sshd palsu bertugas mencuri kredensial login plaintext dan menyimpannya secara terenkripsi di folder tersembunyi.
• Pembersihan Jejak Forensik (Log Stripping): Skrip instalasi secara otomatis menghapus rekaman perintah (seperti tmp, wget, cron) dari riwayat bash root serta membersihkan log pada /var/log/auth.log dan audit.log.
• Implan Pendamping curlRAT: Menyebarkan Trojan Remote Access bernama curlRAT yang secara berkala mengirim sinyal beacon ke domain C2 penyerang.

Atribusi Ancaman & Panduan Mitigasi

Rapid7 mengaitkan kampanye ini dengan kelompok spionase siber Korea Utara (APT37 / Ricochet Chollima, Lazarus, dan Kimsuky). Untuk mengamankan server load balancer dan infrastruktur gateway:

1. Terapkan File Integrity Monitoring (FIM): Pasang pemantauan integritas berkas biner (seperti AIDE, Tripwire, atau Wazuh) pada direktori sistem penting (/usr/sbin/haproxy, /usr/sbin/sshd, /usr/sbin/crond) guna mendeteksi modifikasi atau penggantian biner tanpa izin.
2. Audit Integritas Memori & Proses: Lakukan inspeksi berkala pada runtime memori untuk mendeteksi manipulasi pointer atau injeksi modul ilegal.
3. Monitoring Jaringan Out-of-Band: Gunakan perangkat inspeksi jaringan eksternal (Network Detection & Response) untuk memantau lalu lintas C2 yang berpotensi disembunyikan dari log lokal server.

Sumber Informasi

Artikel ini disusun berdasarkan laporan riset teknis Rapid7 Labs, publikasi intelijen ancaman Mandiant, dan liputan The Hacker News.

🔗 Sumber asli: The Hacker News — New Ted Backdoor Hides Inside Victims' Own HAProxy Builds to Intercept Web Traffic