Analistas da Cisco Talos identificaram uma campanha ativa que explora servidores Internet Information Services (IIS), usando web shells, scripts PowerShell e variantes regionais do malware BadIIS para manter persistência.
Descoberta e escopo
A campanha, observada desde o final de 2025 e em atividade no início de 2026, concentra-se em implantações de IIS no Sul e Sudeste Asiático, com foco reportado em vítimas na Tailândia e no Vietnã. A identificação foi feita por pesquisadores da Cisco Talos após detecção de atividade suspeita em múltiplos servidores IIS.
Vetor e cadeia de ataque
O grupo inicia compromissos por meio de web shells instalados em servidores IIS vulneráveis. A partir daí, operadores executam scripts PowerShell que baixam e instalam uma ferramenta de acesso remoto conhecida como GotoHTTP, permitindo controle persistente das máquinas comprometidas. Em seguida, implantam variantes do BadIIS adaptadas ao alvo regional.
Customização regional do BadIIS
Os pesquisadores registraram que as variantes do BadIIS agora trazem códigos de país embutidos no código‑fonte (por exemplo, tags "VN" e "TH") e usam diretórios e arquivos configurados para operações direcionadas, como caminhos "C:/Users/mssql$/Desktop/VN/" para operações no Vietnã e "C:/Users/mssql$/Desktop/newth/" para a Tailândia. As variantes filtram visitantes por cabeçalho Accept‑Language para diferenciar tráfego de buscadores e usuários humanos, entregando payloads distintos.
Persistência e anti‑forense
Após o acesso inicial, os atacantes criam contas de usuário ocultas com privilégios administrativos — inicialmente usando nomes como "admin$" e, posteriormente, variantes como "mysql$", "admin1$", "admin2$" e "power$" — para reduzir detecções por produtos de segurança que passaram a sinalizar os nomes mais óbvios.
Ferramentas anti‑forenses incluídas na campanha, segundo a Talos, abrangem Sharp4RemoveLog (remoção de logs do Windows), CnCrypt Protect (ocultação de arquivos maliciosos) e OpenArk64 (encerramento de processos de segurança em nível de kernel), medidas que ampliam o tempo em que os operadores permanecem não detectados.
Evidências e limites
Os indicadores apresentados pelos analistas incluem assinaturas de malware, infraestrutura de comando e controle e sobreposição operacional com a operação WEBJACK. A cobertura da Talos descreve os artefatos e padrões observados, mas a análise pública não especifica um número absoluto de servidores comprometidos nem CVEs exclusivos responsáveis pela intrusão — a exploração parece apoiar‑se em servidores IIS desatualizados ou mal configurados.
Setores e implicações
Embora as vítimas relatadas dominem a região asiática, a combinação de web shells, uso de ferramentas administrativas legítimas (PowerShell, GotoHTTP) e anti‑forense apresenta um padrão que organizações com servidores IIS devem tratar como de alto risco: detecção pode ser difícil quando atacantes usam funcionalidades nativas do Windows e nomes de contas que se misturam a nomenclaturas válidas.
Recomendações práticas
- Auditar imediatamente servidores IIS expostos e aplicar atualizações e hardening recomendados pelo fornecedor;
- procurar sinais de web shells (páginas ASP/ASPX anômalas, arquivos recém‑criados em diretórios web, alterações no cabeçalho Accept‑Language handling);
- verificar contas locais e remover/acionar investigação para nomes administrativos suspeitos (ex.: mysql$, admin1$, power$);
- avaliar logs de início de sessão, checar EDR/AV por indicadores correlacionados e isolar instâncias afetadas para análise forense.
Fonte
Cyber Security News, com base em análises da Cisco Talos.