Eine neu identifizierte Manipulationskampagne zur Suchmaschinenoptimierung hat die Sicherheit von Internet Information Services gefährdet (IIS) Server weltweit. Forscher von Trend Micro haben einen finanziell motivierten SEO-Manipulationsangriff Nutzung der als BadIIS bekannten Malware, Zielorganisationen in Asien und darüber hinaus.
Der BadIIS SEO-Angriff erklärt
BadIIS ist eine hochentwickelte Malware-Variante, die es Cyberkriminellen ermöglicht, Suchmaschinen-Rankings zu manipulieren und ahnungslose Benutzer auf illegale Websites umzuleiten.. Die neueste Kampagne, von dem vor allem Indien betroffen war, Thailand, und Vietnam, zeigt, wie Angreifer anfällige IIS-Server ausnutzen, um BadIIS einzusetzen und ihre Aktivitäten durch illegale Glücksspielwerbung und die Verbreitung von Malware zu monetarisieren.
Laut den Forschern, Sobald ein IIS-Server kompromittiert ist, BadIIS verändert seine Antworten auf Webanfragen. Benutzer, die versuchen, auf legitime Inhalte zuzugreifen, werden stattdessen zu einem von zwei möglichen Zielen umgeleitet:
- Illegale Glücksspiel-Websites – Der umgeleitete Datenverkehr wird durch illegale Glücksspielaktivitäten monetarisiert, Generierung von Einnahmen für Bedrohungsakteure.
- Bösartige Server – Besucher werden möglicherweise unwissentlich auf von Angreifern kontrollierte Websites umgeleitet, die Malware oder Phishing-Seiten hosten., weitere Gefährdung ihrer Geräte und persönlichen Daten.
Auswirkungen und Opfer von BadIIS-Angriffen
Obwohl die Kampagne in erster Linie auf asiatische Länder abzielt,, einschließlich Indien, Thailand, Vietnam, die Phillipinen, Singapur, Taiwan, Südkorea, und Japan – seine Auswirkungen reichen über regionale Grenzen hinaus. Forscher haben auch kompromittierte IIS-Server in Brasilien identifiziert, und Bangladesch wurde als potenzielles Ziel bezeichnet.
Diese Angriffe wurden auf IIS-Servern von Regierungsstellen beobachtet, Universitäten, Technologieunternehmen, und Telekommunikationsanbieter. Die Analyse der Opfer zeigt, dass sich die meisten Opfer in derselben geografischen Region befinden wie der angegriffene Server., Einige wurden infiziert, nachdem sie infizierte Websites besucht hatten, die anderswo gehostet wurden.
Chinesisch sprechende Bedrohungsakteure stehen im Verdacht, hinter BadIIS zu stecken
Analyse der Domainregistrierungen, eingebettete Zeichenfolgen, und Codestrukturen lassen darauf schließen, dass die Kampagne von chinesischsprachigen Cyberkriminellen-Gruppen betrieben werden könnte. Das Verhalten und die Codeähnlichkeiten der Malware stimmen mit zuvor beobachteten Taktiken von Group11 überein, ein Bedrohungsakteur, der in einem 2021 Whitepaper von Black Hat USA. Vor allem, Die neue BadIIS-Variante verfügt über einen OnSendResponse-Handler anstelle von OnBeginRequest, ein technischer Wandel, der eine sich entwickelnde Angriffsmethodik widerspiegelt.
Wie BadIIS SEO gewinnbringend manipuliert
Der Kern dieser Kampagne dreht sich um SEO-Betrug, Ausnutzung von IIS-Schwachstellen, um Suchmaschinenergebnisse zu manipulieren und den Datenverkehr auf unrechtmäßige Websites zu lenken. Die Malware überprüft HTTP-Anforderungsheader auf User-Agent- und Referrer-Felder, insbesondere auf der Suche nach Schlüsselwörtern, die mit Suchmaschinen wie Google verknüpft sind, Bing, Baidu, und Naver. wenn festgestellt, Die Malware leitet Benutzer auf betrügerische Glücksspielseiten um, anstatt auf die beabsichtigten legitimen Inhalte..
Liste der Ziel-Keywords:
User-Agent-Feld: 360, baidu, bing, kokken, daum, Google, naiver, Sogou, Abonnieren
Referrer-Feld: baidu.com, bing.com, Coccoc, daum.net, Google, naver.com, so.com, sogou.com, sm.cn
Neben SEO-Betrug, BadIIS arbeitet im Injektormodus, Einfügen von bösartigem JavaScript-Code in die Antwort, die an legitime Besucher gesendet wird. Mit dieser Technik können Angreifer schädliche Skripte dynamisch laden und ausführen, weitere Gefährdung der Benutzersicherheit.
So schützen Sie IIS-Server
Internetinformationsdienste von Microsoft (IIS) ist eine weit verbreitete Webserver-Plattform, die die Online-Dienste zahlreicher Organisationen unterstützt. Jedoch, seine breite Verbreitung macht es auch zu einem attraktiven Ziel für Cyberkriminelle, wie die jüngste BadIIS-Kampagne zeigt. Durch Ausnutzen von IIS-Schwachstellen können Angreifer schädliche Inhalte in legitime Websites einschleusen, Dadurch werden sowohl Websitebesitzer als auch Besucher gefährdet.
Die Folgen kompromittierter IIS-Server gehen über technische Schäden hinaus, da Unternehmen Gefahr laufen, das Vertrauen ihrer Kunden zu verlieren, mit rechtlichen Konsequenzen konfrontiert, und erleiden einen Reputationsschaden, weil ihre Websites zur Verbreitung bösartiger Inhalte missbraucht werden. Organisationen können die folgenden Praktiken anwenden, um Risiken zu minimieren und zu vermeiden, Opfer von BadIIS oder einer ähnlichen Operation zu werden, als empfohlen von TrendMicro:
- Identifizieren und beheben Sie Schwachstellen – Scannen Sie IIS-Server regelmäßig auf Sicherheitslücken und führen Sie kritische Updates durch, um eine Ausnutzung zu verhindern..
- Monitor für verdächtige Modulinstallationen – Erkennen unerwarteter IIS-Modulinstallationen, insbesondere solche, die sich in ungewöhnlichen Verzeichnissen befinden.
- Zugriffskontrollen verstärken – Administratorzugriff einschränken, Erzwingen Sie eine Multi-Faktor-Authentifizierung (MFA), und verwenden Sie starke, einzigartige Passwörter für alle privilegierten Konten.
- Setzen Sie Firewalls und Netzwerksicherheitsmaßnahmen ein – Kontrollieren und überwachen Sie den Netzwerkverkehr zu und von IIS-Servern, um das Risiko unbefugter Zugriffe zu begrenzen..
- Überwachen Sie IIS-Protokolle kontinuierlich – Behalten Sie die Serveraktivität genau im Auge, Suchen Sie nach Anomalien wie ungewöhnlichen Verkehrsspitzen oder unerwarteten Dateiänderungen.
- IIS-Konfigurationen härten – Reduzieren Sie die Angriffsfläche, indem Sie unnötige Dienste und Funktionen deaktivieren, Sicherstellen, dass nur die unbedingt erforderlichen Funktionen aktiv bleiben.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: