תוכנה זדונית של BadIIS

חוקרי אבטחת סייבר חשפו קמפיין הרעלת SEO מתוחכם, שלפי החשד בוצע על ידי גורם איום דובר סינית. המתקפות מכוונות בעיקר למזרח ודרום מזרח אסיה, עם דגש מיוחד על וייטנאם. קמפיין זה מקושר לתוכנה זדונית בשם BadIIS ועוקבת תחת השם CL-UNK-1037. ראוי לציין כי גורם האיום מראה חפיפות תשתית ואדריכליות עם ישויות המזוהות כ-Group 9 ו-DragonRank.

איך הרעלת SEO עובדת

הרעלת SEO כרוכה במניפולציה של תוצאות מנועי חיפוש כדי להערים על משתמשים ולגרום להם לבקר באתרים בלתי צפויים או זדוניים, כגון פורטלי הימורים או תוכן למבוגרים, למטרות רווח כספי. בקמפיין זה, התוקפים מנצלים מודול IIS מקורי, BadIIS, כדי להציג תוכן זדוני משרתים לגיטימיים אך פגועים.

פונקציות BadIIS כוללות:

• יירוט ושינוי של תעבורת HTTP נכנסת.
• הזרקת מילות מפתח וביטויים לאתרים בעלי מוניטין כדי להשפיע על דירוג מנועי החיפוש.
• סימון מבקרים על ידי זחלני מנועי חיפוש באמצעות כותרת User-Agent ואחזור תוכן מורעל משרת Command-and-Control (C2).

גישה זו מאפשרת לאתרים שנפגעו לדרג גבוה עבור מונחי חיפוש ממוקדים, ובסופו של דבר להפנות משתמשים תמימים לאתרי הונאה.

מחזור החיים של ההתקפה

מתקפת הרעלת SEO עוקבת אחר תהליך רב-שלבי:

בניית הפיתוי : תוקפים מזינים תוכן מניפולטיבי לסורקי מנועי חיפוש, מה שגורם לאתר האינטרנט שנפרץ להיראות רלוונטי עבור מונחי חיפוש שאינם קשורים.

טמון המלכודת : קורבנות המחפשים מונחים אלה נתקלים באתרים שנראים לגיטימיים אך פרוצים, אשר מפנים אותם ליעדים זדוניים.

לפחות במקרה ידוע אחד, תוקפים ניצלו גישה של זחלני מנועי חיפוש כדי להסלים את ההתקפות על ידי יצירת חשבונות מקומיים חדשים, פריסת מעטפות אינטרנט, חילוץ קוד מקור והתקנת שתלי BadIIS נוספים לגישה מרחוק מתמשכת.

כלים ווריאציות בשימוש

גורם האיום משתמש במספר כלים ווריאציות כדי להשיג מניפולציה של SEO ובקרת תנועה:

• מטפל דפים קל משקל של ASP.NET לשליחת תוכן זדוני באמצעות פרוקסי.

כל השתלים מותאמים אישית לשליטה בתוצאות מנועי החיפוש ובזרימת התנועה, מה שמדגים פעולה מתואמת ביותר.

ייחוס וראיות לשוניות

לחוקרים יש ביטחון גבוה שפעילות זו מופעלת על ידי גורם איום דובר סינית. מסקנה זו נתמכת על ידי:

• ראיות לשוניות ישירות שנמצאו בתוכנה הזדונית ובתשתית.
• קשרים אדריכליים ותפעוליים המחברים את הגורם לאשכול קבוצה 9.

מבצע Rewrite מדגים כיצד גורמי איום מתוחכמים ממנפים הרעלת SEO, פגיעויות IIS ופגיעות בשרתי אינטרנט כדי להפנות תנועה ולבצע התקפות בעלות מניעים כלכליים.