Ted steckt direkt in HAProxy – normale Logs können sauber wirken

Ein am 7. September 2026 veröffentlichter Bericht von SecurityWeek bestätigt den Fund eines neuen Linux-Spionage-Toolkits bei Organisationen aus der südkoreanischen Automobil- und Medienbranche. Seine auffälligste Komponente ist Ted: ein Schadfilter, der in den dort untersuchten HAProxy-2.8.12-Builds steckte und Webverkehr abfangen, Befehle ausführen sowie ausgewählte Antworten verändern konnte.

Der bis zum 7. September bestätigte Befund beschreibt keine Schwachstelle in HAProxy. Ted setzt einen bereits kompromittierten Server und die Möglichkeit voraus, das laufende Binärprogramm auszutauschen. Danach können Backend-Protokolle und die vom manipulierten HAProxy-Prozess gelieferten Statistiken sauber wirken, obwohl der Load-Balancer verdeckte Steueranfragen verarbeitet.

Warum Ted keine HAProxy-Lücke ist

Die entscheidende Trennung verläuft zwischen dem unbekannten Erstzugang und der späteren Manipulation des Load-Balancers. Die technische Analyse von Rapid7 Labs dokumentiert einen neu kompilierten HAProxy-2.8.12-Build mit dem eingebauten Filter ted_plugin; zugleich hält sie ausdrücklich fest, dass die vorhandenen Belege weder den konkreten Einstiegspunkt noch eine dafür ausgenutzte CVE bestätigen.

Bei beiden untersuchten Organisationen waren Groupware- und Mail-Dienste am Edge-Server erreichbar. Rapid7 behandelt diese Dienste jedoch nur als plausible Angriffsflächen. Eine Darstellung, nach der eine bestimmte Groupware-Lücke nachweislich den Erstzugang ermöglichte, geht über den forensisch belegten Stand hinaus.

Deshalb löst ein Versionsupdate allein den eigentlichen Vertrauensbruch nicht. Eine saubere HAProxy-Version beseitigt zwar den untersuchten Build, doch auf einem weiterhin kontrollierten Host kann ein Angreifer sie erneut ersetzen. Zu einer belastbaren Bereinigung gehören daher auch die Untersuchung des Betriebssystems, der Zugangsdaten, weiterer veränderter Programme und des verwendeten Softwarepfads.

Wie Ted lokale Protokolle umgehen kann

Ted hängt direkt am HTTP-Parser des Load-Balancers und verarbeitet bereits entschlüsselte Anfragen in dessen HTX-Puffern. Erkennt der Filter den fest eingebauten C2-Pfad, reduziert er aktive und kumulierte Verbindungs-, Anfrage- und Bytezähler. Die technische Zusammenfassung von The Hacker News bestätigt außerdem, dass der Implantatcode die Anfrage anschließend aus dem Weiterleitungspuffer entfernt, sodass sie das Backend nicht erreicht und dort keinen Protokolleintrag erzeugt.

Der Befehlsinhalt wird stattdessen über benannte Pipes unter /tmp verarbeitet. Die Antwort geht mit einem gewöhnlich wirkenden HTTP/1.0-Status 200 direkt über den Socket zurück. Legitime Anfragen kann derselbe Prozess weiterhin normal verteilen, weshalb erfolgreiche Erreichbarkeits- oder Funktionstests die Manipulation nicht ausschließen.

Damit hat die Aussage „saubere Logs“ eine klare Grenze: Nicht jedes Protokoll im Netz bleibt zwangsläufig unauffällig. Betroffen sind vor allem die vom kompromittierten Prozess erzeugten Messwerte und die Backend-Logs, denen die C2-Anfrage vollständig fehlt. Eine unabhängige Messstelle vor oder neben dem Edge-Host kann dagegen Verkehr erfassen, den HAProxy selbst nicht mehr ausweist.

Welche Prüfungen den Vertrauensbruch sichtbar machen

Die Prüfreihenfolge sollte bei der Integrität des Edge-Hosts beginnen. Ein angezeigter Versionsstring genügt nicht, weil auch ein veränderter Build weiterhin HAProxy 2.8.12 melden kann. Aussagekräftiger ist der Vergleich des laufenden Programms mit einem vertrauenswürdigen Paket oder einem reproduzierbaren Build, der außerhalb des verdächtigen Systems verwahrt wird.

1. Binärintegrität: Hashwerte, Paketmetadaten, Signaturen, Dateigröße und Build-Artefakte gegen eine unabhängige Referenz prüfen. Rapid7 führt für ein untersuchtes Ted-Binärprogramm den SHA-256-Wert 72e70936f0dbe459142a1d867617c35f8d0cce5d18c6a49e1090a2a5adc8e558 auf.
2. Laufzeit und Speicher: Geladene Routinen, Threads und offene benannte Pipes erfassen und mit der Datei auf dem Datenträger abgleichen. Zu den veröffentlichten Suchmerkmalen gehören die Konfigurationsdateien haproxy-1000.cache, haproxy-1001.cache und haproxy-1002.cache im Cache-Verzeichnis des betroffenen Kontos.
3. Externe Korrelation: Paket- oder Flow-Daten einer unabhängigen Instanz den lokalen Verbindungs- und Bytezählern gegenüberstellen. Wiederkehrende Abweichungen sind kein alleiniger Beweis für Ted, markieren aber Verkehr, den der Load-Balancer nicht plausibel erklärt.

Keiner dieser Befunde reicht isoliert für eine Entwarnung. Ein Angreifer kann Pfade und Konfigurationen verändern; umgekehrt schließt eine unveränderte Datei keine Manipulation des bereits laufenden Speichers aus. Der gemeinsame Zweck der Prüfungen besteht darin, die betroffene Komponente nicht allein über ihre eigene Unversehrtheit entscheiden zu lassen.

Das Implantat ist Teil eines größeren Toolkits

Ted kann nicht nur einen verdeckten Steuerkanal bedienen. Seine Regeln können Anfragen anhand von URL, Referrer, User-Agent, Quelladresse und Werten im Accept-Language-Header auswählen. Bei passenden Besuchern kann der Filter Inhalte an Antworten anhängen oder sie ersetzen, während andere Nutzer weiterhin die reguläre Seite erhalten.

Rapid7 fand daneben einen SSH-Keylogger, curlRAT, einen Stager sowie manipulierte Fassungen legitimer Linux-Systemprogramme. Diese zusätzlichen Komponenten erweitern den Blick über HAProxy hinaus: Eine Untersuchung, die nur den Load-Balancer ersetzt, kann weitere Persistenz- und Zugangsspuren auf demselben System übersehen.

Die Zuordnung zu nordkoreanischen staatlich unterstützten Akteuren bleibt eine Einschätzung mit mittlerer Sicherheit. Dafür werden das Zielprofil in Südkorea, Ähnlichkeiten zu früheren Watering-Hole-Kampagnen und bereits APT37 zugerechnete Infrastruktur angeführt; für eine definitive Attribution reichen die Belege laut Rapid7 nicht aus.

Gesichert sind damit die manipulierten HAProxy-Builds bei zwei untersuchten Organisationen, die Fähigkeiten von Ted und die begleitenden Schadprogramme. Offen bleiben der konkrete Erstzugang, der vollständige Kampagnenzeitraum und die Zahl möglicher weiterer Opfer. Gerade deshalb können unauffällige lokale Protokolle den Befund nicht widerlegen: Entscheidend sind unabhängig erhobene Integritäts-, Speicher- und Verkehrsdaten.

Lesen Sie auch:

• KI-Benchmarks können auswendig gelernt sein – so erkennt man die Täuschung
• Claudeforce bringt 37 Salesforce-Aufgaben direkt in Claude
• Venture Debt verlängert die Runway – Covenants können sie abrupt beenden