Una sofisticada campaña cibernética ha comprometido más de 1.800 servidores Windows en todo el mundo, utilizando una potente cepa de malware conocida como BADIIS. Esta operación apunta a entornos de Internet Information Services (IIS), transformando infraestructuras legítimas en una red masiva para envenenamiento SEO. Al secuestrar estos servidores, los actores de amenazas manipulan los resultados de los motores de búsqueda para promocionar plataformas de apuestas ilegales y esquemas fraudulentos de criptomonedas

Una sofisticada campaña cibernética ha comprometido más de 1.800 servidores Windows en todo el mundo, utilizando una potente cepa de malware conocida como BADIIS.

Esta operación tiene como objetivo entornos de Internet Information Services (IIS), transformando infraestructuras legítimas en una red masiva para envenenamiento SEO. Al secuestrar estos servidores, los actores de amenazas manipulan los resultados de los motores de búsqueda para promocionar plataformas de apuestas ilegales y sitios fraudulentos de criptomonedas, monetizando así los sistemas comprometidos mientras evaden las defensas de seguridad tradicionales.

Los vectores de ataque utilizados en esta campaña son preocupantes debido a su capacidad para afectar a sectores de alto perfil, incluyendo agencias gubernamentales, instituciones educativas y organizaciones financieras en múltiples países.

El malware se integra profundamente en los procesos centrales del servidor web, lo que le permite interceptar y modificar el tráfico HTTP en tiempo real. Esta intrusión silenciosa permite a los atacantes redirigir a visitantes específicos hacia destinos maliciosos sin interrumpir las operaciones normales del servidor para usuarios regulares o administradores.

Analistas de Elastic Security Labs identificaron el malware tras observar comportamientos distintivos posteriores a la intrusión durante una investigación forense en una organización multinacional.

Su investigación vincula esta actividad con un grupo de amenazas rastreado como UAT-8099, señalando que la campaña exhibe un alto nivel de seguridad operativa. Los analistas descubrieron que el malware había sido desplegado en diversas industrias, con una concentración significativa de víctimas en la región de Asia-Pacífico, lo que indica un esfuerzo estratégico para explotar regiones con patrones específicos de uso de internet.

Tácticas avanzadas de evasión y persistencia

La sofisticación de BADIIS radica en su implementación como un módulo IIS malicioso nativo, lo que le permite lograr persistencia y evadir la detección con notable eficiencia. A diferencia del malware que se ejecuta como procesos separados, BADIIS se carga directamente en el proceso trabajador de IIS, lo que dificulta distinguirlo de las actividades legítimas del servidor.

Una vez instalado, el malware emplea un mecanismo de filtrado "consciente del contexto" para determinar cómo manejar el tráfico entrante. Inspecciona los encabezados HTTP de cada solicitud, buscando específicamente cadenas User-Agent asociadas con rastreadores de motores de búsqueda como Googlebot. Cuando detecta un rastreador, BADIIS inyecta palabras clave y enlaces SEO en la respuesta del servidor, mejorando el posicionamiento de sitios maliciosos. Por el contrario, si un administrador del sistema o un usuario regular accede al sitio, el malware sirve el contenido original y limpio. Esta técnica de vista dividida garantiza que el compromiso permanezca invisible para los operadores humanos mientras envenena activamente los resultados de búsqueda.

Además, el uso de llamadas directas al sistema ayuda al malware a eludir los ganchos de detección y respuesta de endpoints (EDR), asegurando su presencia en la máquina de la víctima.

Las organizaciones deben inspeccionar regularmente los módulos IIS instalados en busca de componentes sin firmar o no reconocidos para detectar posibles infecciones. También es esencial monitorear conexiones de red inesperadas iniciadas por el proceso trabajador de IIS y asegurarse de que todos los servidores Windows estén parcheados contra vulnerabilidades conocidas para prevenir futuros compromisos.