北朝鮮系APTが韓国の自動車・メディア業界を標的に長期潜伏 — HAProxy内蔵の「Ted」バックドアとcurlRATをRapid7が報告

Rapid7 Labsは2026年9月4日、韓国の自動車業界とメディア業界の組織を標的とする未報告のLinuxツールキットを公表した。このツールキットは検出をほとんど受けずに活動し、被害組織のHAProxy（Web通信の負荷分散ソフト） version 2.8.12 のソースコードに直接組み込まれた「Tedバックドア」を中核に、システムデーモンに寄生するRAT（遠隔操作マルウェア）「curlRAT」やSSHキーロガーなどを組み合わせて長期の諜報と監視を狙う。Rapid7は攻撃者を北朝鮮（DPRK）系APTと中程度の確度で帰属付けた。

被害の構図と未確定の侵入経路

Rapid7が確認した被害は韓国の2組織で、自動車業界とメディア業界にまたがる。攻撃時期は2026年初頭にさかのぼる可能性があり、VirusTotalへの関連検体の初投稿は2025年半ばだった。HAProxy 2.8.12-0fdb194自体が2024年11月22日に公開されたため、Tedバックドアの組み込みはそれ以降に行われたと同社はみている。

最初の侵入口が何だったのかは執筆時点で確定していない。両被害組織とも、インターネットに面したエッジWebサーバーがポート80・443・25を公開し、443番ではグループウェアのログインポータルが動いていた。Rapid7は、グループウェアのポータルやメールサーバーの脆弱性を突いて侵入したとする攻撃連鎖を「部分的な再構成」として示しつつ、特定のCVE（共通脆弱性識別子）との結び付けは裏付け不足として断定していない。2026年に入ってKimsukyが韓国のグループウェアベンダーを外部公開メールサーバーのRCE（遠隔コード実行）で侵害した動きとも整合すると同社は述べている。

HAProxyに溶け込むTedバックドア

Tedバックドアの最大の特徴は、被害組織が使っていたHAProxyそのものに溶け込んでいる点だ。攻撃者はHAProxyのソースに独自プラグイン（ted_plugin）を追加して再コンパイルし、約18MBのバイナリに仕上げていた。HAProxy本来のフィルタAPIやメモリ管理、イベント処理の仕組みを流用するため、正規の負荷分散は通常通り動き続けながら裏で悪事を働く。

同社の解析によると、TedバックドアはHAProxyのHTTP解析処理に独自フィルタを差し込み、通過する通信を調べて価値の高い通信を記録し、セッションCookieを盗み、閲覧者のIPアドレスを選別してWebページに不正スクリプトを差し込む。侵害したロードバランサーを経由する利用者を選んで悪性コンテンツに誘導する、ウォータリングホール型の攻撃環が完成する仕組みだ。HAProxy自身の接続カウンタを改ざんして痕跡を消す機能も備え、 Ted側のC2（指令サーバー）通信はロードバランサーのHTTP経路にトンネル化される。

curlRAT・ステージャ・SSHキーロガーの連携

Tedバックドアと並行して動くのが、crond（定期実行デーモン）などに寄生するcurlRATだ。名前の通りlibcurlでC2とHTTPS通信し、失敗時はHTTPに切り替える。C2から取得する設定はBase64と独自XOR暗号の二重で保護され、モード番号0〜5でコマンド実行・設定書換・追加ペイロード取得・リバースシェル・ビーコン・対話シェルを使い分ける。通常は12時間ごとにC2へ問い合わせるが、攻撃者は高速モード（30秒間隔）への切り替えも可能だ。HAProxyの死活を毎時監視してC2へ報告する番犬スレッドも持ち、仮想環境でなければ動作を止める逃避機能も備える。

搬入役のステージャはroot権限とOS種別（CentOS 7.7／7.8／7.9、Ubuntu 22.04など）を確認して対応する改ざんcrondを書き込み、正規サービスを再起動する。改ざん後のcrondには /usr/bin/ssh と同じ作成時刻を付けて偽装し、bash履歴やmessages・auth.logなどのログから「tmp」「wget」「cron」といった痕跡語を消去する。sshdを改ざんしたSSHキーロガーは利用者の平文パスワードを盗んで暗号化ログに保存する。agetty・atd・polkitdの改ざん版も確認されており、正規デーモンの名をかたる潜伏が徹底している。

C2基盤は .store .space .site .autos といった安価なドメインに img. を付けた画像CDN風の命名で、正規の閲覧通信に紛れ込ませる設計だ。Naverの静的コンテンツ配信ドメインに似せた img.responsive.pstatic.autos もあり、韓国語話者を狙う構成と同社は指摘している。

中程度の確度での帰属付けと留保

Rapid7は北朝鮮系APTへの帰属を「中程度の確度」と明言し、根拠と留保を併記している。根拠は、韓国企業に多いグループウェアという地域特化の標的選定、Naver模倣ドメイン、単純なXOR・代替暗号の流儀、ウォータリングホール手法、そしてハードコードされたC2群がThreatFoxとmaltrailでAPT37と関連付けられていることだ。同時期のLazarusによるSyncHole作戦（Kasperskyが2024年11月〜2025年2月と記録）との時期・手法の重なりも挙げている。一方で、APT37とLazarusはMandiantの評価では北朝鮮の別機関下の異なるクラスタであり、Ted内の ngx_ 命名とFunnull作戦のnginxバックドアの類似も「強い関連付けを支えるコード級の重なりはない」として退けている。2026年7月にはENKI WhiteHatも類似の初期侵入を報告しており、韓国のメール機器の脆弱性悪用が継続している可能性に同社は注意を促している。

Rapid7は結論として、利用者の通信やTLS（暗号化通信）、実行モジュールを扱うエッジ機器を主要アプリケーションサーバーと同等の厳格さで守るべきだと述べている。機器自身のログだけに頼らず、独立したネットワーク相関、メモリの振る舞い分析、バイナリの整合性検証が必要だとの指摘だ。

出典

• DPRK APTs: Ted backdoor and curlRAT target South Korean media and automotive sectors（Rapid7 Labs、2026年9月4日）