🇰🇵 Северокорейские хакеры спрятали бэкдор внутри обычного Linux-серв

иса
Исследователи Rapid7 обнаружили новую шпионскую кампанию против компаний в Южной Корее. Предположительно, за ней стоят северокорейские хакеры.
Но интересна здесь не география атаки, а способ, которым злоумышленники пытались остаться незамеченными.
Обычно защитные системы ищут подозрительные программы и процессы.
Здесь атакующие поступили иначе: они встроили вредоносный код непосредственно в HAProxy — популярный инструмент, который совершенно легально используется на огромном количестве серверов для обработки сетевого трафика.
Получается любопытная ситуация:
сервер работает → HAProxy работает → никаких очевидно подозрительных программ рядом нет.
Но сам доверенный компонент уже скомпрометирован.
Через него злоумышленники могли получать команды, управлять заражённой системой и перехватывать данные.
Причём HAProxy был не единственной целью. Исследователи обнаружили модификации и других системных компонентов Linux, включая механизмы авторизации.
🎯 Зачем всё это?
Судя по набору инструментов, речь идёт не о ransomware и не о попытке быстро заработать.
Цель больше похожа на классический кибершпионаж:
→ закрепиться внутри инфраструктуры;
→ получить учётные данные;
→ наблюдать за системой;
→ незаметно управлять заражёнными серверами;
→ сохранять доступ как можно дольше.
Rapid7 связывает эту активность с северокорейскими группировками с умеренной уверенностью. Часть инфраструктуры ранее пересекалась с активностью, которую связывали с APT37.
💡 Почему эта история важна
Она хорошо показывает изменение подхода атакующих.
Защитники привыкли спрашивать:
«Есть ли на сервере вредоносная программа?»
Но всё чаще правильный вопрос звучит иначе:
«А можем ли мы доверять программам, которые уже находятся на сервере?»
Если атакующий модифицировал легитимный системный компонент, название процесса останется знакомым, сервис продолжит работать — и внешне всё может выглядеть нормально.
Поэтому контроль целостности системных файлов и поиск аномального поведения легитимных сервисов становятся всё важнее.
Иногда malware не нужно прятаться рядом с доверенной программой.
Он может стать её частью.
#ThreatIntelligence #APT #DPRK #Linux #Кибербезопасность