Backdoor Ted menyatu dengan HAProxy—log backend bisa tetap terlihat bersih

Pada 4 September 2026, laporan Rapid7 Labs mengungkap toolkit spionase Linux pada dua organisasi di Korea Selatan dari sektor otomotif dan media. Komponen utamanya, Ted, dikompilasi langsung ke dalam binary HAProxy 2.8.12 yang telah ditrojanisasi.

Temuan ini bukan CVE pada kode resmi HAProxy. Penyerang lebih dahulu memperoleh kemampuan menjalankan kode dan mengganti binary di host; karena itu, memasang versi lebih baru saja tidak cukup untuk memastikan mesin telah bersih. Ted juga dapat menghentikan komunikasi command-and-control (C2) di load balancer, sehingga permintaan berbahaya tidak sampai ke backend dan log aplikasi dapat tetap terlihat normal.

Ted berada di dalam proses HAProxy, bukan mengeksploitasi HAProxy

Ted dibangun sebagai plugin khusus bersama sumber HAProxy dan terhubung dengan parser HTTP, filter API, memory pool, event scheduler, serta pengelolaan proses internalnya. Layanan penyeimbangan beban yang sah tetap berjalan, sementara implant memeriksa permintaan dan respons dalam proses yang sama.

Perbedaan ini menentukan respons defensif. Versi yang tampil sesuai harapan hanya mengidentifikasi basis build, bukan membuktikan bahwa executable berasal dari paket resmi atau pipeline build tepercaya. Binary yang telah dikompilasi ulang juga dapat mempertahankan string versi yang sama dengan salinan bersih.

Pembaruan HAProxy tetap diperlukan untuk memperoleh perbaikan resmi, tetapi tidak menghapus persistensi lain pada host yang sudah dikuasai. Jika penyerang mampu mengganti executable layanan jaringan, administrator juga perlu meragukan integritas daemon sistem, konfigurasi, kunci, token, dan kredensial yang dapat dijangkau dari mesin tersebut.

Mengapa log backend bisa tidak melihat kanal C2

Ted memeriksa permintaan HTTP setelah trafik diproses oleh HAProxy. Ketika permintaan cocok dengan endpoint kendali, implant mengurangi penghitung koneksi, mengalirkan isi perintah melalui FIFO atau named pipe di direktori sementara, lalu mengosongkan kanal permintaan sebelum trafik diteruskan.

Pemeriksaan teknis The Hacker News menjelaskan bahwa perintah berhenti di load balancer dan balasan dikirim melalui socket mentah sebagai respons HTTP biasa. Akibatnya, backend tidak menerima transaksi tersebut, sementara statistik koneksi HAProxy yang terkait juga telah dikurangi.

Ketiadaan catatan pada backend karena itu bukan bukti bahwa tidak terjadi kompromi. Sinyal yang lebih kuat adalah ketidakcocokan antara trafik yang terlihat sebelum load balancer, telemetri proses pada host, statistik HAProxy, dan transaksi yang akhirnya tercatat oleh aplikasi.

Artefak yang perlu dicari mencakup konfigurasi seperti ~/cache/haproxy-1000.cache, named pipe sementara, dan /tmp/jasper-log yang digunakan dalam penghapusan selektif jejak instalasi. Daftar indikator juga memuat domain C2 dan hash sampel, tetapi indikator statis harus dipadukan dengan pemeriksaan integritas karena infrastruktur dapat berubah atau tidak lagi aktif.

curlRAT dan daemon trojan menunjukkan kompromi satu host penuh

Ted bukan satu-satunya implant dalam operasi ini. Liputan SecurityWeek pada 7 September 2026 mendokumentasikan curlRAT, keylogger SSH, stager, serta salinan crond, agetty, atd, polkitd, dan sshd yang ditrojanisasi bersama backdoor HAProxy.

curlRAT menyediakan eksekusi perintah, pengunduhan muatan, reverse shell, dan shell PTY, serta memiliki thread yang memantau status HAProxy. Stager memeriksa hak root dan keberadaan HAProxy atau cron sebelum memasang muatan, lalu dapat menimpa daemon yang sah, meniru waktu berkas, dan menghapus kata kunci tertentu dari riwayat shell maupun log sistem.

Keylogger pada sshd yang dimodifikasi menangkap kata sandi teks biasa sebelum menyimpannya dalam bentuk terenkripsi. Ruang lingkup ini berarti pemeriksaan tidak boleh berhenti setelah binary HAProxy diganti: kredensial yang pernah digunakan pada host dan akses ke sistem lain harus dianggap berpotensi terpapar sampai penyelidikan membuktikan sebaliknya.

Atribusi operasi kepada aktor yang terkait Korea Utara dinilai dengan keyakinan menengah. Sasaran, infrastruktur yang dikaitkan dengan APT37, serta kemiripan pola operasi mendukung penilaian itu, tetapi bukti yang tersedia belum menetapkan operator spesifik secara pasti.

Urutan pemeriksaan dimulai dari binary aktif

Prioritas pemulihan adalah membangun kembali kepercayaan terhadap host, bukan sekadar mengubah nomor versi. Tim respons insiden dapat mengurutkan pemeriksaan sebagai berikut:

1. Amankan bukti dari executable yang berjalan. Catat path, proses induk, pemilik, izin, hash kriptografis, sumber paket, dan rantai build sebelum melakukan penggantian. Bandingkan hash dengan artefak tepercaya untuk rilis dan konfigurasi build yang sama.
2. Perluas validasi ke daemon sistem. Bandingkan HAProxy, crond, agetty, atd, sshd, dan polkitd dengan paket resmi. Periksa konfigurasi implant, named pipe, perubahan timestamp, celah pada riwayat shell, serta penghapusan selektif dalam log audit dan autentikasi.
3. Nilai paparan kredensial. Inventarisasi akun SSH, kunci privat, token administratif, cookie sesi, sertifikat, dan rahasia aplikasi yang dapat diakses dari load balancer. Rotasi harus dilakukan melalui sistem bersih setelah persistensi dikendalikan.
4. Korelasikan telemetri independen. Bandingkan sensor jaringan di depan HAProxy, DNS dan koneksi keluar dari host, data proses atau memori, statistik load balancer, serta transaksi backend. Selisih yang tidak dapat dijelaskan perlu dipertahankan sebagai bukti.
5. Pulihkan dari dasar tepercaya. Bila penggantian binary berhak tinggi terbukti, membangun ulang host dari media, paket, dan konfigurasi terverifikasi memberikan tingkat keyakinan lebih baik daripada hanya menghapus implant yang sudah diketahui.

Jalur masuk dan cakupan build lain belum diketahui

Bukti yang tersedia menunjukkan binary HAProxy yang dimodifikasi, kanal C2 yang berhenti sebelum backend, curlRAT, keylogger SSH, stager, serta beberapa daemon trojan. Belum ada bukti bahwa Ted merupakan kerentanan dalam distribusi resmi HAProxy atau dapat menyebar otomatis ke instalasi lain.

Metode akses pertama belum dapat dipastikan. Portal Groupware dan layanan surat yang terekspos termasuk kemungkinan yang diselidiki, tetapi titik masuk dan CVE terkait masih belum terkonfirmasi. Belum diketahui pula apakah penyerang membuat build Ted untuk versi HAProxy lain.

Dengan keadaan bukti saat ini, string versi dan log backend tidak dapat dijadikan pemeriksaan tunggal. Penyimpangan hash dan provenance, perubahan executable sistem, artefak konfigurasi atau pipe, tanda pencurian kredensial, serta ketidakcocokan telemetri di kedua sisi load balancer menjadi dasar penilaian yang lebih kuat.

Baca juga:

• Sophos menyaring celah yang benar-benar bisa diserang—analis tetap memeriksa AI
• Memori Claude kini menyatu dengan Cowork—dan aktif secara bawaan
• Phishing menyembunyikan kata dengan Unicode—filter email bisa terkecoh