Un malware peligroso llamado BadIIS ha estado atacando servidores web de Internet Information Services (IIS), secuestrándolos para redirigir a los usuarios hacia sitios de apuestas ilegales, contenido para adultos y otros destinos ilícitos. Estos ataques han estado activos durante años, afectando a miles de sitios web legítimos, principalmente en la región de Asia-Pacífico y otras zonas.

Un peligroso malware conocido como BadIIS ha estado atacando activamente servidores web de Internet Information Services (IIS), secuestrándolos silenciosamente y redirigiendo a visitantes desprevenidos a sitios de apuestas ilegales, plataformas de contenido para adultos y otros destinos ilícitos.

Los ataques han persistido durante años en la región de Asia-Pacífico y más allá, poniendo a miles de sitios web legítimos y a sus usuarios en grave riesgo.

BadIIS funciona implantando un módulo malicioso dentro del software del servidor IIS que se ejecuta silenciosamente en segundo plano. Una vez instalado, intercepta el tráfico web que fluye a través del servidor comprometido y redirige a los visitantes sin que estos se den cuenta.

El servidor sigue pareciendo normal desde el exterior, lo que hace que la detección sea mucho más difícil para los administradores y los equipos de seguridad.

Investigadores de Cisco Talos identificaron una variante específica de BadIIS distinguible por cadenas "demo.pdb" incrustadas, lo que reveló que el malware funciona como una herramienta comercial probablemente vendida o compartida entre múltiples grupos de cibercrimen de habla china.

Según el informe compartido, Cisco Talos evaluó con moderada confianza que esta variante opera bajo un modelo de Malware-as-a-Service (MaaS), permitiendo la monetización continua por parte del desarrollador.

La investigación reveló que el malware ha estado en desarrollo activo desde al menos septiembre de 2021, y la muestra compilada más reciente data del 6 de enero de 2026.

Actualizaciones iterativas rápidas, ramificaciones de funciones y tácticas de evasión reactivas dirigidas a proveedores de seguridad específicos como Norton confirmaron que la herramienta sigue bajo mantenimiento activo.

Talos también observó ataques en la región de Asia-Pacífico, Sudáfrica, Europa y América del Norte, demostrando hasta dónde se ha extendido la campaña.

El atacante detrás de la campaña opera bajo el alias "lwxat", un nombre incrustado en toda la herramienta de construcción, los mecanismos de autenticación e incluso en las cadenas de agente de usuario HTTP en vivo durante las comunicaciones activas del malware.

Los artefactos de la ruta PDB apuntaron además a una compilación personalizada adaptada para un cliente específico, indicando que esta variante de BadIIS fue construida a medida para ciertos clientes y reforzando el modelo de negocio MaaS.

El malware BadIIS secuestra servidores IIS

La funcionalidad principal de BadIIS se centra en una herramienta de construcción dedicada que los actores de amenazas utilizan para generar archivos de configuración personalizados, redireccionadores de JavaScript y scripts de enlaces inversos PHP, para luego inyectar esos parámetros directamente en los binarios de BadIIS.

El constructor ofrece cuatro capacidades principales: redirección de tráfico a sitios ilícitos, proxy inverso para la manipulación de rastreadores de motores de búsqueda, secuestro total del contenido del sitio web comprometido e inyección de enlaces inversos internos y externos para el fraude de SEO malicioso.

Versión de secuestro de sitio personalizada que redirige a los usuarios según el idioma del navegador (Fuente – Cisco Talos)

La redirección de tráfico se gestiona inyectando redireccionadores basados en JavaScript en la sesión del navegador de la víctima, enviando forzosamente a los usuarios legítimos a infraestructuras de spam, como plataformas de apuestas ilegales y sitios web de contenido para adultos.

Para los rastreadores de motores de búsqueda, BadIIS actúa como un proxy inverso, obteniendo contenido ilícito del backend de comando y control del atacante y sirviéndolo como si perteneciera al sitio web legítimo.

La función de secuestro de contenido incluso permite a los actores de amenazas configurar qué porcentaje del tráfico se ve afectado y extraer dinámicamente metadatos de título, descripción y palabras clave maliciosas desde una URL remota.

Un ecosistema MaaS construido para escalar

Más allá del binario central de BadIIS, Cisco Talos descubrió una suite completa de herramientas auxiliares desarrolladas por el mismo autor, incluyendo instaladores basados en servicios, componentes dropper y mecanismos de persistencia.

Estas herramientas aseguran que BadIIS se reactive automáticamente cada vez que el servidor IIS comprometido se reinicie, haciendo que la limpieza manual sea mucho más difícil.

El malware utiliza codificación Base64 personalizada y ofuscación XOR de un solo byte para ocultar las direcciones del servidor de comando y control a los escáneres de seguridad.

Flujo de trabajo de instalación (Fuente – Cisco Talos)

Una de las herramientas de persistencia suplanta servicios legítimos de Windows, como FaxService o AudiosService, para evitar levantar sospechas durante las revisiones de seguridad rutinarias.

Otra herramienta actúa como un dropper de inicialización de módulos, empaquetando las cargas útiles de DLL maliciosas dentro de un ejecutable independiente etiquetado como "IIS32" e "IIS64" dentro de sus recursos.

Juntos, estos componentes forman un ecosistema modular y escalable diseñado para el acceso sostenido y los ingresos continuos.

Se recomienda encarecidamente a los administradores de servidores auditar regularmente los módulos de IIS instalados y revisar el archivo applicationHost.config del servidor IIS en busca de entradas desconocidas o no autorizadas.

Monitorear las conexiones salientes inesperadas desde los servidores web y mantener actualizados los productos de seguridad para detectar firmas específicas de BadIIS también te ayudará a reducir la exposición a esta amenaza.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Firma de Malware	Win.Malware.BadIIS-10069981-0	Firma de ClamAV que detecta la amenaza BadIIS
Firma de Malware	Win.Malware.BadIIS-10069988-0	Firma de ClamAV que detecta la amenaza BadIIS
Firma de Malware	Win.Malware.BadIIS-10069984-0	Firma de ClamAV que detecta la amenaza BadIIS
Firma de Malware	Win.Malware.BadIIS-10069985-0	Firma de ClamAV que detecta la amenaza BadIIS
Regla SNORT (SID)	1:66400, 1:66439, 1:66438	Reglas Snort2 que detectan y bloquean el tráfico de BadIIS
Regla SNORT (SID)	1:66400, 1:301498-1	Reglas Snort3 que detectan y bloquean el tráfico de BadIIS
Cadena PDB	demo.pdb	Cadena incrustada que identifica la variante MaaS de BadIIS
Cadena PDB / Alias Actor	lwxat	Alias del actor de amenazas incrustado en el constructor, config y cadenas de agente de usuario HTTP
Nombre de Archivo	IIS32 / IIS64	Cargas útiles DLL de BadIIS nombradas dentro del recurso del dropper
Nombre de Archivo	config.txt	Archivo de configuración leído por el instalador del servicio BadIIS
Nombre de Archivo	module.txt	Archivo de almacenamiento temporal utilizado para guardar la lista de módulos de IIS
Nombre de Servicio Windows	Winlogin	Nombre de servicio de Windows falso utilizado para la persistencia por la herramienta de instalación
Cadena User-Agent	lwxatisme	Cadena de agente de usuario HTTP personalizada utilizada durante las comunicaciones C2
Artefacto de Constructor	Patrón de ruta de carpeta “demo.pdb”	Rutas de construcción C:\Users\Administrator\Desktop\ que revelan el entorno del desarrollador
Nombre de Carpeta	dll-no904	Directorio de construcción de resolución de problemas identificado en las rutas PDB
Etiqueta de Configuración	lw\xat (alias xshen)	Cadena de ruta PDB que hace referencia a una compilación personalizada para el cliente “xshen”

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/badiis-malware-turns-hijacks-iis-servers/