ESET Research обнаруживает новые угрозы веб-серверов IIS, подслушивающие правительства и нацеленные на транзакции электронной коммерции

Среди жертв были правительства Юго-Восточной Азии и десятки компаний, принадлежащих к различным отраслям промышленности, расположенных в основном в Канаде, Вьетнаме и Индии, а также в США, Новой Зеландии, Южной Корее и других странах.

Сегодня ESET Research публикует белую книгу “Анатомия нативных вредоносных программ IIS” и запускает серию блог-постов о наиболее заметных из недавно обнаруженных угроз: IIStealer, IISpy и IISerpent. Они будут опубликованы на сайте WeLiveSecurity начиная с сегодняшнего дня и вплоть до 11 августа 2021 года. Результаты исследования вредоносных программ IIS компании ESET были впервые представлены на сайте <urlСреди жертв были правительства Юго-Восточной Азии и десятки компаний, принадлежащих к различным отраслям промышленности, расположенных в основном в Канаде, Вьетнаме и Индии, а также в США, Новой Зеландии, Южной Корее и других странах.

Сегодня ESET Research публикует белую книгу “Анатомия нативных вредоносных программ IIS” и запускает серию блог-постов о наиболее заметных из недавно обнаруженных угроз: IIStealer, IISpy и IISerpent. Они будут опубликованы на сайте WeLiveSecurity начиная с сегодняшнего дня и вплоть до 11 августа 2021 года. Результаты исследования вредоносных программ IIS компании ESET были впервые представлены на сайте <url>. Black Hat USA 2021 и также будет поделена с сообществом на конференции Virus Bulletin 2021 8 октября 2021 года.

Вредоносное ПО IIS - это разнообразный класс угроз, используемых для киберпреступности, кибершпионажа и SEO — мошенничества, но во всех случаях его основной целью является перехват HTTP-запросов, поступающих на скомпрометированный сервер IIS, и влияние на то, как сервер отвечает на (некоторые) эти запросы. “Веб-серверы информационных служб Интернета были нацелены различными злоумышленниками как для киберпреступности, так и для кибершпионажа. Модульная архитектура программного обеспечения, предназначенная для обеспечения расширяемости веб-разработчиков, может быть полезным инструментом для злоумышленников”, - говорит исследователь ESET Зузана Хромцова, автор статьи.

ESET выделила пять основных режимов работы вредоносного ПО IIS:

-Бэкдоры IIS позволяют их операторам удаленно управлять скомпрометированным компьютером с установленным IIS.

-Информационные системы IIS позволяют своим операторам перехватывать регулярный трафик между скомпрометированным сервером и его законными посетителями и красть такую информацию, как учетные данные для входа и платежные данные.

-Инжекторы IIS изменяют HTTP-ответы, отправляемые законным посетителям, чтобы обслуживать вредоносный контент.

-Прокси-серверы IIS превращают скомпрометированный сервер в невольную часть инфраструктуры командования и управления для другого семейства вредоносных программ.

-SEO-мошенничество Вредоносное ПО IIS изменяет контент, подаваемый поисковым системам, чтобы манипулировать алгоритмами SERP и повышать рейтинг других сайтов, представляющих интерес для злоумышленников.

“До сих пор довольно редко программное обеспечение безопасности запускается на серверах IIS, что позволяет злоумышленникам работать незаметно в течение длительного времени. Это должно беспокоить все серьезные веб-порталы, которые хотят защитить данные своих посетителей, включая аутентификацию и платежную информацию. Организации, которые используют Outlook в Интернете, также должны обратить внимание, поскольку он зависит от IIS и может быть интересной целью для шпионажа”, - объясняет Хромцова.

ESET Research предлагает несколько рекомендаций, которые могут помочь смягчить последствия атак вредоносных программ IIS. К ним относятся использование уникальных надежных паролей и многофакторной аутентификации для администрирования серверов IIS; поддержание операционной системы в актуальном состоянии; использование брандмауэра веб-приложений и решения endpoint security для сервера; а также регулярная проверка конфигурации сервера IIS для проверки законности всех установленных расширений.

Наряду с белой книгой ESET будет публиковать более короткие блог-посты, полученные из этой статьи, с 6 по 11 августа 2021 года: