安全研究機構 Rapid7 Labs 近期揭露了一款針對 Linux 系統的精密工具集，其核心是一個被命名為 Ted 的後門程式。這款後門採取了極其隱蔽的部署方式，它並非利用軟體漏洞，而是直接被編譯進入受害者的 HAProxy 執行檔中。HAProxy 是一款廣泛用於企業環境的開源負載平衡器，負責將進來的網路流量分發到後端伺服器。當攻擊者成功將 Ted 植入 HAProxy 後，該負載平衡器便從一個流量分發工具變成了流量攔截與操縱的據點。
目前已知受害者包含兩家位於南韓的組織，分別屬於汽車工業與媒體產業。根據 Rapid7 的分析，這類攻擊具有高度的針對性，且其操作手法與北韓支持的國家級駭客組織（如 APT37、Lazarus 或 Kimsuky）高度吻合。
後門的運作機制與流量攔截
Ted 後門最危險之處在於其對網路流量的精準過濾與操縱。它會在 HAProxy 處理請求時，根據一套嚴格的規則篩選特定訪客。只有滿足以下四項檢查的請求才會被後門攔截並回傳修改後的內容：必須攜帶 User-Agent 標頭、URL 與 Referer 模式必須符合預設規則、客戶端 IP 地址需在白名單中（或符合特定的 /24 網段），或者在 Accept-Language 標頭中包含特定的操作員金鑰以繞過地址過濾。
當滿足條件的請求進入時，Ted 會將其切換至命令與控制（C2）模式。為了避免被管理員發現，後門會刻意遞減 HAProxy 的即時連線計數器，使該連線從負載平衡器的統計數據中消失。隨後，指令內容會被寫入 /tmp 目錄下的命名管道（Named Pipe），並將請求通道清空，導致請求在負載平衡器端就終止，而不會被轉發到後端伺服器。這意味著後端伺服器的日誌中完全不會留下任何紀錄。
回傳的結果則透過標準的 HTTP/1.0 200 OK 標頭傳回，使其看起來像正常的網頁流量。透過這個隱蔽通道，攻擊者可以執行遠端指令、上傳或下載檔案、發送心跳訊號（Beacon）以及更新後門配置。為了防止訪客發現頁面被篡改，後門還會修改回應的內容類型（Content-Type）與長度，並刪除 Accept-Ranges 標頭，防止客戶端透過請求位元組範圍（Byte Ranges）來察覺檔案大小的異動。
系統滲透與隱匿手段
Ted 並非透過單一漏洞進入系統，而是需要攻擊者先取得主機的程式執行權限並擁有 root 權限。Rapid7 推測攻擊者可能是利用南韓企業常用的 Groupware（協作軟體）入口網站漏洞進入。一旦取得權限，攻擊者會部署一個分階段載入器（Stager），確認系統中已運行 HAProxy 或 cron（排程管理工具）後，才會執行後續操作。
為了在系統中長期潛伏，攻擊者採取了多項偽裝手段。他們會覆蓋合法的 crond 執行檔，並將其創建時間戳記修改為與 /usr/bin/ssh 一致，以逃避簡單的時間軸檢查。此外，他們會從 root 使用者的 bash 歷史紀錄以及 auth.log、audit.log 等六項系統日誌中，刪除 tmp、wget、cron 與 crond 等關鍵字。
除了 HAProxy，該工具集還包含對 sshd、agetty、atd 與 polkitd 等多個系統二進位檔案的竄改。例如，被竄改的 sshd 會將截獲的明文密碼加密後寫入固定路徑。此外，還發現了一款名為 curlRAT 的遠端存取木馬（RAT），它會定期發送心跳訊號，但僅在確認主機並非虛擬化環境時才會啟動。
影響、限制與防禦建議
這次攻擊顯示出國家級駭客對基礎設施軟體深度定制的能力。由於 Ted 是直接取代原有的 HAProxy 二進位檔案，而非利用軟體漏洞，因此即使將 HAProxy 升級到最新版本也無法清除已植入的後門。雖然受害者使用的版本 2.8.12 存在許多已知漏洞，但這些漏洞與後門的植入並無直接因果關係。
對於防禦者而言，偵測此類攻擊極具挑戰性。因為竄改後的 HAProxy 在執行版本查詢時，仍會回報與原版相同的版本字串。傳統的漏洞掃描無法發現此問題，唯一的偵測方法是進行二進位檔案的完整性檢查（Binary Integrity Check），比對執行檔的雜湊值（Hash）是否與官方發行版一致。
Rapid7 建議企業應採取獨立的網路關聯分析，監控異常的流量模式，並對記憶體行為進行分析。由於攻擊者會清除日誌並操縱統計數據，單純依賴應用程式日誌已不足夠，必須從更底層的系統層級或外部網路流量監控來發現異常。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。