BadIIS マルウェア
簡体字中国語でコミュニケーションをとる脅威アクターが、アジアとヨーロッパの国々をターゲットにした新しいキャンペーンに関与していることが判明しました。このキャンペーンの目的は、SEO 戦術を通じて検索エンジンのランキングを操作することです。サイバーセキュリティ研究者によって DragonRank と名付けられたこのブラックハット SEO キャンペーンは、タイ、インド、韓国、ベルギー、オランダ、中国などの地域に影響を及ぼしています。
DragonRank は Web アプリケーション サービスを侵害して Web シェルを展開し、システム情報を収集してPlugXや BadIIS などのマルウェアを配信します。これらの攻撃により、35 台のインターネット インフォメーション サービス (IIS) サーバーが侵害され、最終的には 2021 年 8 月に初めて特定された BadIIS マルウェアをインストールすることを目指しています。
目次
攻撃者が侵害された IIS サーバーを乗っ取る
このマルウェアは、侵害された IIS サーバーを、脅威の攻撃者と被害者の間の不正な通信の中継点に変換することで、プロキシ ウェアと SEO 詐欺を容易にするように設計されています。さらに、検索エンジンに提供されるコンテンツを変更してアルゴリズムを操作し、攻撃者がターゲットとする Web サイトのランキングを向上させることもできます。
調査で最も印象的な発見の 1 つは、IIS マルウェアの汎用性、特に SEO 詐欺への使用です。このマルウェアは、検索エンジンのアルゴリズムを操作して、サードパーティの Web サイトの可視性と評判を高めるために悪用されます。
研究者によって発見された最新の攻撃は、宝飾品、メディア、研究サービス、ヘルスケア、ビデオおよびテレビ制作、製造、輸送、宗教およびスピリチュアル組織、ITサービス、国際問題、農業、スポーツ、さらには風水など、幅広い業界を網羅しています。
DragonRank による攻撃チェーン
攻撃は、phpMyAdmin や WordPress などの Web アプリケーションの既知の脆弱性を悪用して、オープンソースの ASPXspy Web シェルを展開することから始まります。その後、この Web シェルは、ターゲット環境に追加のツールを導入するためのゲートウェイとして機能します。
このキャンペーンの主な目的は、企業の Web サイトをホストしている IIS サーバーを侵害することです。攻撃者はこれらのサーバーを使用して BadIIS マルウェアをインストールし、ポルノやセックスに関連するキーワードを含む詐欺行為のプラットフォームとして再利用します。
このマルウェアの注目すべき特徴は、コマンド アンド コントロール (C2) サーバーに接続するときに、ユーザー エージェント文字列で Google の検索エンジン クローラーを偽装する機能です。この戦術により、マルウェアは一部の Web サイトのセキュリティ対策を回避できます。
脅威アクターがSEO操作に関与
脅威アクターは、検索エンジンのアルゴリズムを悪用または変更して SEO を操作し、検索結果における Web サイトのランキングを高めます。これは、不正なサイトへのトラフィックを誘導したり、不正なコンテンツの可視性を高めたり、ランキングを人為的に上げたり下げたりして競合他社を混乱させたりするために行われます。
DragonRank は、ターゲットのネットワーク内の追加のサーバーに侵入するというアプローチにより、他のブラックハット SEO グループとは一線を画しています。同グループは、中国の脅威アクターが一般的に使用するバックドアである PlugX や、 Mimikatz 、PrintNotifyPotato、BadPotato、GodPotato などのさまざまな認証情報収集ツールを使用して、これらのサーバーを制御します。
悪意のある手法とオンラインプレゼンス
これらの攻撃で使用される PlugX マルウェアは、DLL サイドローディング技術を採用しています。暗号化されたペイロードを開始するローダー DLL は、Windows 構造化例外処理 (SEH) メカニズムを利用して、正当なファイル (つまり、DLL サイドローディングになりやすいバイナリ) がセキュリティ警告をトリガーせずに PlugX をロードできるようにします。
研究者らは、この脅威の担い手が「tttseo」というハンドル名でTelegramやQQインスタントメッセージングアプリで活動し、顧客と違法な商取引を行っている証拠を発見した。また、彼らは顧客のニーズに合わせたプロモーション戦略を考案し、一見質の高い顧客サービスを提供しているようだ。
クライアントは宣伝したいキーワードやウェブサイトを提出することができ、DragonRank はこれらの仕様に基づいて戦略を設計します。このグループはまた、特定の国や言語を対象としたプロモーションに重点を置き、オンライン マーケティングに対するカスタマイズされた徹底的なアプローチを提供しています。
