疑似北韓駭客將後門植入 HAProxy，可攔截流量並避開後端日誌

疑似北韓背景的攻擊者將後門植入負載平衡器 HAProxy，藉此攔截流量並讓命令控制請求繞過後端的日誌紀錄。攻擊者對植入位置的選擇，顯示相當深入的架構理解。

負載平衡器在網路架構中處於極為關鍵的位置。所有進入服務的流量都必須經過它，再被分派到後端的應用伺服器；這意味著取得負載平衡器的控制權，等同於能看到並操縱所有的進出流量，包括尚未加密或已解密的內容。

避開後端日誌是這個手法最精巧的部分。多數組織的監控與稽核建立在應用伺服器的日誌之上——誰在什麼時間存取了什麼資源，都由後端記錄。若惡意請求在負載平衡器層就被攔截並處理，根本不會轉發到後端，後端的日誌中自然不會留下任何痕跡。

這種設計讓偵測難度大幅提高。資安團隊在調查時通常從應用日誌著手，而這類攻擊在該層完全隱形；除非特別針對負載平衡器本身進行完整性檢查或流量比對，否則後門可能長期潛伏而不被察覺。

從歸因的角度看，這類針對網路基礎設施的長期潛伏，與國家級行為者的典型模式相符。相較於以獲利為目的的攻擊追求快速變現，情報導向的行動更重視持久的存取能力與隱蔽性，願意投入大量時間研究目標的架構細節。

防禦的方向在於把基礎設施元件納入完整性監控。負載平衡器、反向代理與 API 閘道這類設備，往往被視為網路設備而非需要端點防護的主機，成為監控的盲區。後續觀察重點在於受影響組織的範圍，以及是否有可用的入侵指標供其他組織自我檢查。