Вредоносное ПО BadIIS распространяется через SEO-атаки перенаправляя трафик и устанавливая веб-шеллы

[index]

Исследователи в области кибербезопасности обратили внимание на кампанию SEO-отравления (search engine optimization poisoning), предположительно проводимую русскоязычным хакером, использующими вредоносное ПО под названием BadIIS в атаках, нацеленных на Восточную и Юго-Восточную Азию, и особенно на Вьетнам.

Эта активность, получившая название Operation Rewrite, отслеживается командой Unit 42 компании Palo Alto Networks как CL-UNK-1037, где "CL" означает кластер, а "UNK" — неизвестную мотивацию. Выяснилось, что злоумышленник использует ту же инфраструктуру и архитектурные подходы, что и группа под названием Group 9, описанная ранее исследователями ESET и DragonRank.

«Чтобы провести SEO-отравление, атакующие манипулируют результатами поисковых систем, заставляя людей переходить на нежелательные или неожиданные сайты (например, сайты азартных игр или порнографии) с целью финансовой выгоды», — объясняет исследователь безопасности Йоав Земах.
«В этой атаке использовался вредоносный собственный модуль Internet Information Services (IIS) под названием BadIIS.»

Как работает BadIIS​

BadIIS предназначен для перехвата и изменения входящего HTTP-трафика с целью доставки вредоносного контента посетителям сайта через взломанные, но легитимные серверы. Проще говоря, злоумышленники манипулируют результатами поиска, чтобы направить пользователей на нужные им сайты, внедряя ключевые слова и фразы в легитимные сайты с хорошей репутацией домена.

Модуль IIS может определять, что запрос исходит от поискового робота, анализируя заголовок User-Agent в HTTP-запросе. После этого он связывается с внешним сервером, чтобы получить «поддельн контент, который изменяет SEO-показатели сайта, заставляя поисковик индексировать его как релевантный по определённым ключевым словам.

После заражения сайтов схема работает следующим образом: пользователь ищет в поисковике определённый запрос, переходит по ссылке на легитимный, но скомпрометированный сайт и оказывается перенаправленным на мошеннический ресурс.

Захват доступа и установка веб-шеллов​

В одном из инцидентов, расследованных Unit 42, злоумышленники использовали доступ к поисковому роботу, чтобы проникнуть в другие системы, создать новые локальные учётные записи пользователей и внедрить веб-шеллы для постоянного удалённого доступа, кражи исходного кода и загрузки дополнительных вредоносных модулей BadIIS.

«Механизм сначала создаёт приманку, а затем захлопывает ловушку», — комментируют специалисты Unit 42.
«Приманка строится путём подачи поддельного контента поисковым роботам, благодаря чему скомпрометированный сайт начинает ранжироваться по запросам, к которым изначально не имел отношения. Сам веб-сервер при этом работает как обратный прокси — он получает контент с других серверов и отображает его как свой.»

Дополнительные инструменты в арсенале злоумышленников

В ходе атак злоумышленники использовали три варианта модулей BadIIS:

1. Облегчённый обработчик ASP.NET-страниц, который проксирует вредоносный контент с удалённого сервера C2, обеспечивая SEO-отравление.
2. Управляемый .NET-модуль IIS, который может анализировать и изменять каждый HTTP-запрос, внедряя спам-ссылки и ключевые слова, полученные с другого C2-сервера.
3. PHP-скрипт «всё в одном», совмещающий функции переадресации пользователей и динамического SEO-отравления.

«Злоумышленники адаптировали все импланты исключительно под цель манипуляции результатами поиска и управления потоком трафика», — отмечает Unit 42.
«Мы с высокой степенью уверенности считаем, что за этой активностью стоит китайскоязычный актёр, на что указывают как прямые языковые признаки, так и архитектурные/инфраструктурные связи с кластером Group 9.»

Это раскрытие последовало всего через несколько недель после того, как ESET описала ранее не задокументированный кластер угроз под названием GhostRedirector, скомпрометировавший как минимум 65 Windows-серверов — в основном в Бразилии, Таиланде и Вьетнаме — с помощью вредоносного IIS-модуля под кодовым названием Gamshen, также предназначенного для SEO-мошенничества.

- Источник: https://thehackernews.com/2025/09/badiis-malware-spreads-via-seo.html