---
title: "Yeni Ted Arka Kapısı, Kurbanların HAProxy Sistemlerine Gizlenerek Web Trafiğini Ele Geçiriyor"
url: "https://teknotayf.com/haber/yeni-ted-arka-kapisi-kurbanlarin-haproxy-sistemlerine-gizlenerek-web-trafigini-ele-geciriyor"
markdown_url: "https://teknotayf.com/haber/yeni-ted-arka-kapisi-kurbanlarin-haproxy-sistemlerine-gizlenerek-web-trafigini-ele-geciriyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-09-04 18:55:47"
updated: "2026-09-04 15:55:47"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Arka Kapı","Kuzey Kore","HAProxy","Rapid7 Labs"]
source: "The Hacker News"
---

# Yeni Ted Arka Kapısı, Kurbanların HAProxy Sistemlerine Gizlenerek Web Trafiğini Ele Geçiriyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/yeni-ted-arka-kapisi-kurbanlarin-haproxy-sistemlerine-gizlenerek-web-trafigini-ele-geciriyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Güney Kore'deki otomotiv ve medya sektörlerini hedefleyen saldırganlar, HAProxy yük dengeleyicilere gizledikleri yeni bir Linux araç setiyle web trafiğini izliyor. Rapid7 Labs tarafından tespit edilen ve Kuzey Kore devlet destekli aktörlere atfedilen 'ted' adlı arka kapı, komuta ve kontrol trafiğini istatistiklerden silerek tamamen gizli bir iletişim kanalı oluşturuyor.

- **Yayın tarihi:** 2026-09-04 18:55
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Arka Kapı, Kuzey Kore, HAProxy, Rapid7 Labs
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/new-ted-backdoor-hides-inside-victims.html)

![Yeni Ted Arka Kapısı, Kurbanların HAProxy Sistemlerine Gizlenerek Web Trafiğini Ele Geçiriyor](https://teknotayf.com/assets/uploads/2026/09/1dba59b5f2cf9015e3b9dc6d045b0035.jpg)

Güney Kore'de iki farklı kuruluşa ait HAProxy yük dengeleyicilere gizlenmiş, daha önce hiç belgelenmemiş bir Linux araç seti keşfedildi. Saldırganlar bu yazılımı kullanarak web trafiğini izliyor ve sadece belirledikleri ziyaretçilere sahte sayfalar gösteriyordu.

Saldırganlar, ikili dosyada bıraktıkları hata ayıklama dizelerinde bu arka kapıya **ted** adını verdi. Bu durum bir HAProxy zafiyeti değil; kurulumu için hedef sistemde kod çalıştırma yetkisi ve çalışan ikili dosyanın değiştirilebilmesi gerekiyor.

Rapid7 Labs, orta düzeyde bir kesinlikle bu araç setini Kuzey Kore devlet destekli aktörlere atfetti. Saldırıdan zarar gören iki kuruluşun ise Güney Kore'nin otomotiv ve medya sektörlerinde faaliyet gösterdiği belirlendi.

Komuta ve kontrol (C2) istekleri hiçbir zaman arka uç sunucusuna ulaşmıyor ve HAProxy'nin kendi bağlantı sayaçlarından siliniyor. Bu nedenle, ne arka uç günlükleri ne de yük dengeleyicinin istatistikleri bu istekleri kaydediyor.

Rapid7 konuyla ilgili yaptığı açıklamada, "Daha kesin bir değerlendirme yapabilmek için ek kanıtlara ihtiyaç var" ifadelerini kullandı.

Rapid7'nin Cuma günü yayımladığı rapora göre, belirli bir görsel yoluna yapılan istek, filtreyi komuta ve kontrol moduna sokuyor. Arka kapı, HAProxy'nin canlı bağlantı sayaçlarını azaltarak bağlantının yük dengeleyici istatistiklerinden düşmesini sağlıyor. Komut gövdesini /tmp altındaki adlandırılmış bir boru hattına yazıyor. Daha sonra istek kanalını sıfırlamak, iletilecek hiçbir şey bırakmıyor ve komut yük dengeleyicide sonlanıyor.

Çıktı, standart bir HTTP/1.0 200 OK başlığı altında ham soket üzerinden geri dönüyor. Bu durum, veri alışverişinin sıradan bir web trafiği gibi görünmesini sağlıyor.

Saldırganlar bu kanal üzerinden sisteme sinyal gönderebiliyor, dosya yükleyip indirebiliyor, kabuk komutları çalıştırabiliyor ve arka kapının yapılandırmasını değiştirebiliyor. Yalnızca dört farklı kontrolü başarıyla geçen istekler, değiştirilmiş bir sayfa alıyor.

İsteğin bir Kullanıcı Aracısı (User-Agent) içermesi ve hem URL hem de yönlendiren (referer) kalıplarının kurala uyması gerekiyor. Teslimat aşamasında ise ya istemci adresinin tam ve /24 seviyesinde kontrol edilerek beyaz listeye dahil olması ya da Accept-Language başlığındaki bir saldırgan anahtarının adres filtrelemesini tamamen geçersiz kılması gerekiyor.

Arka kapı, çıktıyı gönderirken içerik türünü ve uzunluğunu yeniden yazıyor, yanıt durumunu 200'e zorluyor ve istemcinin bayt aralıkları isteyerek boyut değişikliğini fark etmesini engellemek için Accept-Ranges başlığını siliyor.

Rapid7, eldeki kanıtların bir zaman çizelgesi oluşturmak veya saldırganların sisteme ilk kez nasıl sızdığını belirlemek için yeterli olmadığını belirtti.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/yeni-ted-arka-kapisi-kurbanlarin-haproxy-sistemlerine-gizlenerek-web-trafigini-ele-geciriyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.