Güney Kore’de iki kuruluşun HAProxy yük dengeleyicilerine yerleşen yeni bir arka kapı, saldırganlara web trafiğini araya girip değiştirilmiş sayfalar göstermeleri için kapı açtı. Rapid7 Labs, “ted” adı verilen bu implantı orta güven düzeyinde Kuzey Kore bağlantılı aktörlere atfetti; hedeflerin otomotiv ve medya sektörlerinden olduğu belirtildi.
İmplantın en çarpıcı yanı, HAProxy’nin bir açığından yararlanmaması. Araştırmaya göre saldırganların önce hedef sunucuda kod çalıştırabilmesi, ardından da çalışan ikili dosyayı kendi derledikleri sürümle değiştirebilmesi gerekiyor. Yani saldırı, zafiyet istismarından çok sistem ele geçirildikten sonra yapılan kalıcılık ve gizlenme operasyonuna dayanıyor.
Raporda yer alan bulgulara göre komuta ve kontrol trafiği hiçbir zaman arka uç sunucuya ulaşmıyor. İstekler HAProxy’nin bağlantı sayaçlarından da silindiği için ne arka uç günlükleri ne de yük dengeleyicinin kendi istatistikleri bu etkileşimi kaydediyor. Rapid7, daha kesin bir değerlendirme için ek kanıt gerektiğini de ekledi.
Tek bir istekle C2 moduna geçiyor
Kurgu, belirli bir görsel yoluna gönderilen istekle devreye giriyor. İmplant bu istek geldiğinde C2 moduna geçiyor, HAProxy’nin canlı bağlantı sayaçlarını azaltıyor ve bağlantıyı yük dengeleyici istatistiklerinden düşürüyor. Komut gövdesini /tmp altında oluşturduğu bir named pipe’a yazıyor, ardından istek kanalını sıfırlayarak ileri aktarılacak veri bırakmıyor. Komut, yük dengeleyici üzerinde sonlanıyor gibi görünüyor.
Yanıt ise ham soket üzerinden standart bir HTTP/1.0 200 OK başlığıyla dönüyor. Bu düzenek, alışverişi sıradan web trafiği gibi gösteriyor. Operatörler bu kanal üzerinden sistemle iletişim kurabiliyor, dosya yükleyip indirebiliyor, shell komutları çalıştırabiliyor ve implantın yapılandırmasını değiştirebiliyor.
Değiştirilmiş sayfa ise yalnızca dört ayrı kontrolü geçen isteklere gidiyor. İstekte bir User-Agent başlığı bulunması gerekiyor, ayrıca URL ve referer kalıplarının belirlenen kuralla eşleşmesi şartı var. Teslimat aşamasında ya istemci IP’sinin beyaz listeye girip girmediği tek tek ve /24 düzeyinde kontrol ediliyor ya da Accept-Language başlığına yerleştirilen bir operatör anahtarı adres filtrelemesini tamamen devre dışı bırakıyor.
İmplant çıkışta content type ve content length alanlarını yeniden yazıyor, yanıt durumunu zorla 200’e çekiyor ve Accept-Ranges başlığını siliyor. Böylece istemci byte aralıklarıyla veri çekmeye çalışıp boyut değişikliğini fark edemiyor.
Rapid7, saldırganların ilk erişimi nasıl elde ettiğini doğrulayacak yeterli veriye ulaşamadığını söyledi. Ancak şirketin hipotezine göre giriş noktası, Kore şirketlerinin kullandığı bir groupware portalı olabilir. Bu çıkarım, ENKI’nin daha önce yayımladığı ve Kimsuky grubunun bir grup yazılımı sağlayıcısını bir posta sunucusu açığı üzerinden ele geçirdiğini anlatan araştırmaya dayanıyor.
Yükleyici bileşen yalnızca HAProxy ya da cron zaten çalışıyorsa devreye giriyor ve bir şey bırakmadan önce kök yetkisini doğruluyor. Ardından meşru crond ikilisinin üzerine yazıyor, yeni sürüme /usr/bin/ssh’nin oluşturulma zaman damgasını veriyor. Saldırganlar daha sonra root’un bash geçmişinden ve auth.log ile audit/audit.log’un da aralarında bulunduğu altı sistem günlüğünden tmp, wget, cron ve crond kelimelerini siliyor.
Aynı araç setinde yer alan trojanlaştırılmış bir sshd sürümü, yakalanan düz metin parolaları şifreleyip sabit bir yola yazıyor. Rapid7 ayrıca trojanlaştırılmış agetty, atd ve polkitd ikililerinde de aynı kodu bulduğunu belirtti.
curlRAT adı verilen eşlikçi uzaktan erişim truva atı ise varsayılan olarak 12 saatte bir yoklama yapıyor. Operatör bir bayrak ayarladığında bu aralık 30 saniyeye düşüyor. RAT, yalnızca hedefin sanallaştırılmış olduğunu gösteren bir işaret dosyası bulursa çalışmaya devam ediyor.
Raporda vurgulanan bir başka ayrıntı, curlRAT’in aynı isimli farklı bir aile olan CurlBack RAT ile karıştırılmaması gerektiği. CurlBack RAT, Pakistan bağlantılı SideCopy grubuna atfedilen ayrı bir kötü amaçlı yazılım ailesi olarak biliniyor.
Atıf, alan adları ve korelasyon sorunu
Rapid7’in paylaştığı göstergeler arasında altı alan adı bulunuyor: img.monderhouse[.]space, img.smartnords[.]site, img.darklights[.]store, img.responsive.pstatic[.]autos, img.socialteams[.]store ve img.worksongo[.]store. Dosya adları arasında ~/cache/haproxy-1000.cache, /var/lib/sshd/c8c68e629bba773a10ac80012d10bf19, /var/lib/snapd/g580 ve /tmp/jasper-log yer alıyor. İki SHA-256 özeti de raporda yayımlandı: 72e70936f0dbe459142a1d867617c35f8d0cce5d18c6a49e1090a2a5adc8e558 ve 4bb923eb040aa13ca8fd409c31ee4729c60ddff32e350efe1c5a4a9168a065f5.
Google Public DNS üzerinde 4 Eylül’de yapılan kontrolde bu altı alan adının hiçbirinin A ya da NS kaydı döndürmediği, yani NXDOMAIN yanıtı verdiği doğrulandı. Bu nedenle kayıtlar canlı trafiği engellemekten çok, geçmiş log’ların incelenmesinde işe yarıyor.
Atfın bir bölümü, açık kaynaklı tespit projesi maltrail’de bu alan adlarının APT37 altında listelenmiş olmasına dayanıyor. Rapid7’in bağlantı verdiği maltrail dosyası, Ağustos ayındaki depo yeniden düzenlemesinden sonra yer değiştiren statik trail verileri nedeniyle bir süre çözümlenemedi. 4 Eylül’de aynı kayıtların yeni konumda yer aldığı ve her birinin APT37 altyapısı olarak etiketlendiği doğrulandı.
maltrail’in APT37 kaynak dosyası, bu girdileri Temmuz 2025’te X üzerinde yapılan iki paylaşıma atfediyor ve Rapid7’e doğrudan referans vermiyor. Aynı iki maltrail girdisinde Rapid7’in listesindeki altı alan adına ek olarak primgs[.]lol, admin.primgs[.]lol, grip-cdns[.]space, show.grip-cdns[.]space, cleanos[.]online ve app.cleanos[.]online da bulunuyor. Rapid7, bu ek alan adlarının aynı altyapıya ait olup olmadığını açıklamadı.
Rapid7’in ikinci kaynak olarak adlandırdığı ThreatFox etiketinde de aynı alan adlarından beş gözlem yer alıyor ve bunların tamamı 2 Temmuz 2025 zaman damgası taşıyor. maltrail’in atıfta bulunduğu iki X paylaşımından biri de o gün üç saat önce yayımlanmıştı.
Atıf bölümünde üç ayrı Kuzey Kore kümesi birlikte anılıyor: alan adı listesi için APT37, teslimat modeli için Lazarus ve ilk erişim varsayımı için Kimsuky. Mandiant’ın 2023 tarihli Kuzey Kore siber yapısı değerlendirmesi, bu kümeler arasında ortak araçlar ve örtüşen hedeflemelerin bulunduğunu kayda geçirmişti. Mandiant, bunun kesin atıf yapmayı daha zor hale getireceğini söylemişti.
Rapid7, teslimat modelini Operation SyncHole kampanyasına benzetti. O kampanyada, Güney Kore’deki çevrimiçi medya sitelerini ziyaret eden kullanıcılar sunucu tarafı bir betikle filtrelenmiş ve başka bir adrese yönlendirilmişti. Kaspersky araştırmacıları Sojun Ryu ve Vasily Berdnikov, medium confidence düzeyinde, yönlendirilen sayfanın Cross EX adlı Güney Kore tarayıcı yardımcısındaki bir açıktan yararlanan kötü amaçlı bir betik çalıştırmış olabileceğini değerlendirmişti. Kaspersky’nin SyncHole raporu, yazılım, BT, finans, yarı iletken üretimi ve telekomünikasyon sektörlerinde en az altı mağdur tespit etmişti.
Bu olayda etkilenen iki kuruluşun da HAProxy 2.8.12 sürümünü kullandığı belirtildi. Bu sürüm, HAProxy’nin kendi yayın geçmişine göre 8 Kasım 2024’te çıkmıştı. İmplant, o sürüme sabitlenmiş iç yapı ofsetlerini okuyor; Rapid7, 2.8 dalında başka hangi derlemelerin aynı davranışı gösterdiğini ise belirtmiyor.
2.8 dalındaki güncel sürüm, 27 Ağustos 2026 tarihli 2.8.28. Böylece sürüm hattında 16 nokta güncellemesi geride kalmış durumda. HAProxy’nin hata izleyicisi, 2.8.12’yi etkileyen ve dal içinde zaten giderilmiş 529 bilinen kusur listeliyor; bunların arasında 1 kritik ve 16 büyük hata da bulunuyor.
Yine de güncelleme tek başına sistemi temizlemiyor. Çünkü saldırganlar bir açığı kullanmak yerine ikili dosyanın kendisini değiştiriyor. Rapid7 bu nedenle bağımsız ağ korelasyonu, bellek davranış analizi ve ikili bütünlük kontrolleri önerdi. Raporda son kontrol için hazır tespit kuralı paylaşılmadı; ayrıca yeniden derlenmiş bir HAProxy sürümü, temiz bir derleme ile aynı sürüm dizgesini döndürüyor.
Temmuz ayında AhnLab ve ENKI WhiteHat de benzer bir watering-hole kampanyasını belgeledi. O kampanyada devlet destekli operatörler, ele geçirilmiş Kore web sitelerini kullanarak AnySign4PC imzalama istemcisini hedef aldı.