حمله به سئو DragonRank

عوامل تهدید مشاهده شده است که سرورهای خدمات اطلاعات اینترنتی (IIS) را در آسیا به عنوان بخشی از یک کمپین دستکاری بهینه سازی موتور جستجو (SEO) هدف قرار می دهند. مهاجمان از این طرح برای استقرار BadIIS استفاده می کنند، تهدیدی که برای تغییر ترافیک وب و هدایت کاربران به مقاصد غیرقانونی طراحی شده است.

تغییر مسیرهای با انگیزه مالی به سایت های قمار غیرقانونی

به نظر می رسد که این کمپین سود محور است، زیرا سرورهای در معرض خطر، کاربران ناآگاه را به سمت وب سایت های قمار غیرقانونی هدایت می کنند. سرورهای IIS آسیب‌دیده به موسسات مختلفی از جمله سازمان‌های دولتی، دانشگاه‌ها، شرکت‌های فناوری و ارائه‌دهندگان مخابرات مرتبط هستند. مناطق آسیب دیده شامل هند، تایلند، ویتنام، فیلیپین، سنگاپور، تایوان، کره جنوبی، ژاپن و حتی برزیل است.

ترافیک دستکاری شده و تغییر مسیرهای تهدیدآمیز

هنگامی که یک سرور در معرض خطر قرار می گیرد، ممکن است محتوای تغییر یافته را به بازدیدکنندگان ورودی ارائه دهد. مهاجمان از این کنترل برای پیاده‌سازی تغییر مسیرها به سایت‌های قمار یا اتصال قربانیان به زیرساخت‌های سرکش که میزبان نرم‌افزارهای ناامن یا صفحات جمع‌آوری اعتبار هستند، استفاده می‌کنند. این تکنیک به مجرمان سایبری اجازه می دهد تا از ترافیک وب قانونی برای منافع مالی یا حملات سایبری بیشتر سوء استفاده کنند.

اتصال DragonRank

محققان این فعالیت را به یک گروه تهدید چینی زبان معروف به DragonRank نسبت می دهند. DragonRank که قبلا به عنوان استفاده از استراتژی های دستکاری SEO مستند شده بود، به استقرار بدافزار BadIIS مرتبط شده است. شواهد حاکی از آن است که این گروه از یک عامل تهدید قبلی، که در محافل امنیت سایبری به عنوان گروه 9 شناخته می شود، شکل گرفته است، که از سال 2021 از سرورهای IIS برای خدمات پروکسی و تقلب در SEO استفاده می کند.

تاکتیک های همپوشانی با گروه 11

جالب توجه است، بررسی‌های اخیر نشان می‌دهد که مصنوعات بدافزار شناسایی‌شده شباهت‌هایی با یک نوع مرتبط با موجودیت دیگری، گروه 11 دارند. این نسخه از BadIIS دارای عملکردهای دوگانه است: یک حالت بر تقلب SEO تمرکز دارد، در حالی که حالت دیگر کد جاوا اسکریپت مشکوک را به پاسخ‌های وب تزریق می‌کند تا ترافیک بازدیدکنندگان را دستکاری کند.

چگونه BadIIS قربانیان را تغییر مسیر می دهد

BadIIS می تواند هدرهای پاسخ HTTP را از سرورهای IIS در معرض خطر رهگیری و تغییر دهد. به طور خاص، فیلدهای "User-Agent" و "Referer" را در درخواست های HTTP دریافتی بررسی می کند. اگر این فیلدها حاوی سایت‌های پورتال جستجو یا کلمات کلیدی هدفمند باشند، بدافزار کاربران را به جای صفحه قانونی مورد انتظار، به یک وب‌سایت قمار غیرمجاز هدایت می‌کند. این تغییر مسیر هدفمند به مهاجمان اجازه می دهد تا از ترافیک جستجوی ارگانیک برای منافع خود سوء استفاده کنند.