Se ha observado que los actores de amenaza dirigen a los servidores de Servicios de Informaci\u00f3n de Internet (IIS) en Asia como parte de una campa\u00f1a de manipulaci\u00f3n de optimizaci\u00f3n de motores de b\u00fasqueda (SEO) dise\u00f1ada para instalar malware Badiis.<\/p>\n
“Es probable que la campa\u00f1a est\u00e9 motivada financieramente ya que redirigir a los usuarios a sitios web ilegales de juegos de azar muestra que los atacantes despliegan a Badiis con fines de lucro”, Trend Micro Investigadores Ted Lee y Lenart Bermejo dicho<\/a> En un an\u00e1lisis publicado la semana pasada,<\/p>\n Los objetivos de la campa\u00f1a incluyen servidores IIS ubicados en India, Tailandia, Vietnam, Filipinas, Singapur, Taiw\u00e1n, Corea del Sur, Jap\u00f3n y Brasil. Estos servidores est\u00e1n asociados con el gobierno, las universidades, las empresas de tecnolog\u00eda y los sectores de telecomunicaciones.<\/p>\n Las solicitudes a los servidores comprometidos pueden recibir contenido alterado de los atacantes, que van desde redirecciones hasta sitios de juego hasta conectarse a servidores deshonestos que alojan p\u00e1ginas de malware o credenciales de recolecci\u00f3n.<\/p>\n Se sospecha que la actividad es el trabajo de un grupo de amenazas de habla china conocido como Dragonrank, que fue documentado por Cisco Talos el a\u00f1o pasado como entrega del malware Badiis a trav\u00e9s de esquemas de manipulaci\u00f3n de SEO.<\/p>\n Se dice que la campa\u00f1a Dragonrank, a su vez, se asocia con una entidad denominada Grupo 9 por ESET en 2021 que aprovecha los servidores IIS comprometidos para los servicios de poder y el fraude de SEO.<\/p>\n Sin embargo, Trend Micro se\u00f1al\u00f3 que los artefactos de malware detectados comparten similitudes con una variante utilizada por el Grupo 11, con dos modos diferentes para realizar fraude de SEO e inyectar el c\u00f3digo de JavaScript sospechoso en respuestas para solicitudes de visitantes leg\u00edtimos.<\/p>\n “El BADIIS instalado puede alterar la informaci\u00f3n del encabezado de respuesta HTTP solicitada desde el servidor web”, dijeron los investigadores. “Verifica los campos ‘agente de usuario’ y ‘referente’ en el encabezado HTTP recibido”.<\/p>\n “Si estos campos contienen sitios o palabras clave de portal de b\u00fasqueda espec\u00edficos, Badiis redirige al usuario a una p\u00e1gina asociada con un sitio de juego ilegal en l\u00ednea en lugar de una p\u00e1gina web leg\u00edtima”.<\/p>\n El desarrollo se produce cuando Silent Push vincul\u00f3 la Red de entrega de contenido FunNull de China (CDN) con una pr\u00e1ctica que llama lavado de infraestructura, en las que los actores de amenaza alquilan direcciones IP de proveedores de alojamiento convencionales como Amazon Web Services (AWS) y Microsoft Azure y usan ellos para alojar sitios web criminales.<\/p>\n Se dice que Funnull alquil\u00f3 m\u00e1s de 1,200 IP de Amazon y casi 200 IP de Microsoft, todos los cuales han sido retirados desde entonces. Se ha descubierto que la infraestructura maliciosa, llamada Triad Nexus, alimenta esquemas de phishing minorista, estafas de cebo rom\u00e1ntico y operaciones de lavado de dinero a trav\u00e9s de sitios de juego falsos.<\/p>\n “Pero los nuevos IP se adquieren continuamente cada pocas semanas”, la compa\u00f1\u00eda dicho<\/a>. “Funnull es probable que use cuentas fraudulentas o robadas para adquirir estas IP para mapear a sus CNAMES”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Dragonrank-explota-servidores-IIS-con-malware-Badiis-para-fraude-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n