北朝鮮関連と思われるハッカーが新たなLinuxツールキットを展開

北朝鮮関連と思われるハッカーが新たなLinuxツールキットを展開

SecurityWeek – September 7, 2026

北朝鮮との結びつきが疑われる脅威アクターが、新たなLinuxツールキットを使用して韓国の自動車・メディア業界の組織を標的にしているという。Rapid7が報告した。

この新たに特定されたツールキットは長期的な偵察活動を目的に設計されており、「ted backdoor」と呼ばれるHAProxyインスタンスと、agetty・atd・crond・polkitd・sshdといったツールのトロイの木馬版により構成される。Rapid7によれば、このフレームワークはリモートコマンド実行、認証情報の収集、Webトラフィックへのスクリプト注入に対応しており、長期間にわたって検出を回避しつつ標的をスパイすることを可能にするという。

同ツールキットの展開を伴う攻撃では、まずGroupwareのログインポータルにおける脆弱性の悪用を通じてDMZでの足場が確立されていた。その後、SSHキーロガーによって認証情報が収集され、内部システムへのラテラルムーブメントが可能になる。ステージャーとしての役割も持つこのキーロガーは、crondまたはHAProxyが存在することを確認。その後初めてcurlベースのRAT（CurlRAT）を展開するという。またこれと並行して、HAProxyロードパランサー上にted backdoorが投下される。

CurlRATは、12時間ごとにC2サーバーに接続してコマンドをポーリング。これに基づき、設定ファイルに保存されたコマンドの復号と実行、新しい設定ペイロードのデコードとディスクへの書き込み、および完全な対話型PTYシェルの展開を行うことができるという。

またted backdoorは、データ窃取・スクリプト注入・コマンド実行のためにC2通信を確立。これにより被害組織側では、侵害されたロードバランサーが、そこを経由して閲覧している特定のクライアントに対して悪意あるコンテンツを密かにリダイレクトしたり提供したりするようになる。これにより、水飲み場型攻撃のループが完成するという。

Rapid7によれば、ted backdoorはHAProxyのソースコード内でコンパイルされたカスタムHAProxyプラグインであり、バランサーに組み込まれたHTTPパーサーに直接組み込まれている。このため、HTTPトラフィックの傍受や挿入、C&Cタスクの実行、接続の永続化などが可能になっているとされる。

Rapid7が復元した攻撃の痕跡や使用されたインフラは、過去に北朝鮮グループAPT37およびLazarusが使用した水飲み場型攻撃手法を指し示している上、今回のキャンペーンのタイムフレームや配布メカニズムは、昨年Lazarusとの関連が指摘された「Operation SyncHole」のものと重複するとされる。こうした要素を踏まえ、Rapid7は新たに特定されたツールキットは北朝鮮のAPTグループのものだろうと中程度の確度で評価しているとのこと。