Rapid7 ha documentado un backdoor de Corea del Norte oculto dentro de HAProxy en dos empresas surcoreanas de automoción y medios. El implante, bautizado como ‘ted backdoor’, se compila directamente en el código fuente del balanceador.
El backdoor ‘ted’ no es un añadido: está compilado en HAProxy 2.8.12
Según Rapid7 Labs, se trata de un toolkit Linux previamente no documentado que ha pasado desapercibido durante un tiempo considerable. El backdoor no es un proceso paralelo, sino una pieza integrada en la infraestructura del propio HAProxy 2.8.12. Utiliza la API de filtros nativa, los pools de memoria internos, el planificador de eventos y la gestión de procesos para interceptar el tráfico HTTP mientras el balanceo legítimo sigue funcionando con normalidad. Esa incorporación se realiza a nivel de compilación, no mediante un módulo cargado en tiempo de ejecución.
La integración es tan profunda que el backdoor deja de ser un simple añadido malicioso. Se comporta como una extensión compilada dentro del ejecutable legítimo, tejido en el propio flujo de datos. Esa es la tesis central del informe de Rapid7: no es un malware superpuesto, está entretejido en el software. Por eso es tan difícil de detectar. Un administrador que compare el binario con el original notará diferencias, pero en entornos sin integridad binaria verificada, el implante camufla su presencia.
El mecanismo de mando y control resulta inquietantemente simple. El atacante envía una petición de una imagen falsa: /favorite_list_2x_m500_ico.jpg. Esa petición conmuta el filtro HAProxy al modo C2. El comando se guarda en una tubería con nombre y se elimina el rastro de la petición de los contadores internos de HAProxy. Además, se purgan los búferes de reenvío, de modo que la solicitud nunca llega al servidor backend. El comando termina en el balanceador, sin dejar rastro en ningún log.
El resultado es que ni los registros de la aplicación ni los registros de conexión de HAProxy muestran evidencia alguna del ataque. El backdoor borra sus propias huellas antes de que un equipo de seguridad pueda encontrarlas. Un analista que revise los logs no verá nada sospechoso, porque el implante ya ha eliminado la evidencia. Esa capacidad de autolimpieza lo hace muy diferente de una web shell convencional.
El balanceador de carga no solo enruta tráfico legítimo; también borra la evidencia del ataque antes de que nadie la vea.
Además de la ejecución remota de comandos, el backdoor puede inyectar scripts maliciosos o reemplazar por completo el contenido de una página para víctimas específicas. Los criterios de selección incluyen dirección IP, huella del navegador o una credencial oculta en la cabecera Accept-Language. Convierte el balanceador de carga en un abrevadero contra los propios visitantes de la empresa. El código engancha las respuestas con cuidado para ocultar la diferencia de tamaño introducida, eliminando la cabecera que permitiría al navegador notar el desajuste. Ese cuidado a nivel de protocolo delata una experiencia real en los internals de HAProxy.
No se fíe de los registros del propio balanceador: el diseño del backdoor consiste precisamente en que esos registros nunca lo vean.
El implante principal viene acompañado de un arsenal paralelo que modifica demonios comunes de Linux como crond, agetty, atd, y sshd. Estos programas siguen funcionando con normalidad pero incorporan funcionalidades maliciosas. Uno de los componentes actúa como keylogger de SSH y captura contraseñas en texto plano. Otra herramienta, denominada curlRAT, contacta con el servidor remoto cada 12 horas, o cada 30 segundos si el atacante activa el modo de sondeo rápido. curlRAT comprueba además si el sistema se ejecuta dentro de una máquina virtual; si no encuentra las señales esperadas, se niega a funcionar.
Esta conducta evasora sugiere un diseño pensado para evitar sandboxes y entornos de análisis, no para maximizar el daño inmediato. La atribución se sitúa en un nivel de confianza medio, y Rapid7 lo reconoce abiertamente. El patrón de objetivos, el cifrado XOR simple, un cifrado de sustitución personalizado y la infraestructura de mando vinculada a APT37 en otros feeds apuntan a Corea del Norte. También hay solapamiento técnico con una campaña concurrente del Grupo Lazarus contra medios surcoreanos.
El arsenal paralelo: daemons troyanizados y curlRAT
Rapid7 menciona la presencia de rutinas con prefijo ngx_*, reutilizadas de un backdoor de nginx observado en la campaña Funnull. Sin embargo, más allá de la convención de nombres, no existen solapamientos de código significativos que permitan una vinculación más firme. Los dominios de mando usados en esta campaña ya no resuelven DNS a inicios de septiembre. Eso facilita la revisión de logs históricos, pero no detiene lo que venga después. La conclusión del informe es clara: los defensores deben tratar cualquier componente de borde con los mismos estándares que sus servidores principales, y no confiar solo en sus propios logs.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es un ciberataque de espionaje persistente: un backdoor compilado en un componente de perímetro, con ejecución remota de comandos, robo de credenciales, inyección de scripts y vigilancia a largo plazo. No es un ransomware ni un sabotaje; es una operación de inteligencia dirigida contra el sector automovilístico y mediático surcoreano. La agencia atacante probable es el servicio de inteligencia de Corea del Norte, con atribución técnica que apunta a APT37 (Reaper) y solapamientos con Lazarus Group.
Quien defiende son los equipos de seguridad de las dos empresas afectadas y la investigación independiente de Rapid7 Labs. Quien mira de reojo son los servicios de Corea del Sur y los aliados de la alianza Five Eyes. En España, el CNI y el CCN-CERT llevan años monitorizando infraestructuras críticas y recomendando tratar los balanceadores como superficie de ataque, no como simples encaminadores. Usted recordará que ya en 2010, Stuxnet demostró que el malware puede integrarse en componentes de red legítimos; en 2020, SolarWinds repitió la lección con software de gestión. Este backdoor en HAProxy es el siguiente paso lógico: ocultarse en el perímetro mismo.
A juzgar por la naturaleza del material y el objetivo, estimo un nivel de clasificación ‘Confidencial‘ o ‘Reservado’ para los datos exfiltrados. La operación no parece dirigida contra secretos de Estado de alto nivel, sino contra propiedad intelectual y credenciales de empresas. Lo veo como una confirmación de lo que escribí hace años en El quinto elemento: el próximo 11S empezará con un clic, y aquí el clic atraviesa el balanceador de carga sin dejar rastro. No se equivoque conmigo: la falta de atribución firme no resta gravedad al hallazgo; la prudencia de Rapid7 es precisamente lo que da credibilidad al informe.
La lección para los responsables de seguridad españoles es directa: cualquier componente de borde que gestione tráfico, SSL o módulos de ejecución merece el mismo escrutinio que los servidores de aplicación. Confiar en los registros del propio componente no basta. Hacen falta correlación de red independiente, análisis de comportamiento en memoria y verificación de integridad binaria. El siguiente informe de Citizen Lab o Mandiant confirmará si la misma táctica salta a Europa. Le adelanto que no me sorprendería.
