Security · 4.9.2026
Eine unentdeckte Linux-Backdoor namens „Ted“ nistet sich direkt in HAProxy-Load-Balancern ein, um Web-Traffic abzufangen und Webseiten unbemerkt zu manipulieren.
Sicherheitsforscher haben eine neue, hochentwickelte Linux-Backdoor namens „Ted“ entdeckt, die direkt in modifizierte Versionen des Load-Balancers HAProxy kompiliert wurde. Bei betroffenen Unternehmen fing die Schadsoftware den Netzwerkverkehr ab und lieferte manipulierte Webinhalte an ausgewählte Besucher aus. Da sich die Backdoor direkt im Binärcode der weitverbreiteten Load-Balancer-Software versteckt, bleibt sie für herkömmliche Sicherheitslösungen extrem schwer zu erkennen.
HAProxy ist eine tragende Säule moderner Web-Infrastrukturen weltweit und wird auch im DACH-Raum von zahlreichen Unternehmen, Behörden und Service-Providern zur Lastverteilung eingesetzt. Wenn Angreifer in der Lage sind, Schadcode direkt in die selbst kompilierten Builds oder die Build-Pipelines von Unternehmen einzuschleusen, ist die Integrität des gesamten dahinterliegenden Netzwerks kompromittiert. Diese Methode zeigt, dass sich Angreifer gezielt auf die Infrastruktur-Tools konzentrieren. Für IT-Verantwortliche bedeutet dies ein enormes Risiko: Sensible Daten wie Anmeldedaten, Session-IDs oder persönliche Kundendaten können direkt am Einlasspunkt des Netzwerks abgefangen werden, ohne dass die Webserver selbst Anzeichen einer Kompromittierung zeigen.
IT-Administratoren und Sicherheitsverantwortliche sollten unverzüglich Maßnahmen ergreifen, um die Integrität ihrer Load-Balancer-Systeme zu verifizieren. Folgende Schritte werden dringend empfohlen:
Der Fall der „Ted“-Backdoor verdeutlicht, dass die Absicherung von Open-Source-Komponenten nicht bei der Softwareauswahl endet. IT-Abteilungen müssen auch die eigenen Kompilierungs- und Bereitstellungsprozesse als potenzielle Angriffsvektoren begreifen und kontinuierlich überwachen.
Quelle: The Hacker News