Des acteurs de menace ont \u00e9t\u00e9 observ\u00e9s ciblant les serveurs de services d’information sur Internet (IIS) en Asie dans le cadre d’une campagne de manipulation d’optimisation des moteurs de recherche (SEO) con\u00e7ue pour installer des logiciels malveillants Badiis.<\/p>\n
“Il est probable que la campagne soit motiv\u00e9e financi\u00e8rement depuis que la redirection des utilisateurs vers des sites Web de jeux ill\u00e9gaux montre que les attaquants d\u00e9ploient des Badiis \u00e0 but lucratif”, Trend Micro chercheurs Ted Lee et Lenart Bermejo dit<\/a> Dans une analyse publi\u00e9e la semaine derni\u00e8re,<\/p>\n Les cibles de la campagne comprennent des serveurs IIS situ\u00e9s en Inde, en Tha\u00eflande, au Vietnam, aux Philippines, \u00e0 Singapour, \u00e0 Ta\u00efwan, en Cor\u00e9e du Sud, au Japon et au Br\u00e9sil. Ces serveurs sont associ\u00e9s au gouvernement, aux universit\u00e9s, aux entreprises technologiques et aux secteurs de t\u00e9l\u00e9communications.<\/p>\n Les demandes aux serveurs compromises peuvent ensuite \u00eatre servies le contenu modifi\u00e9 des attaquants, allant de la redirection vers des sites de jeu \u00e0 la connexion aux serveurs voyous qui h\u00e9bergent des logiciels malveillants ou des pages de r\u00e9colte d’identification.<\/p>\n On soup\u00e7onne que l’activit\u00e9 est le travail d’un groupe de menaces chinois connu sous le nom de Dragonrank, qui a \u00e9t\u00e9 document\u00e9 par Cisco Talos l’ann\u00e9e derni\u00e8re comme livrant les logiciels malveillants de Badiis via des sch\u00e9mas de manipulation de r\u00e9f\u00e9rencement.<\/p>\n La campagne Dragonrank, \u00e0 son tour, serait associ\u00e9e \u00e0 une entit\u00e9 appel\u00e9e groupe 9 par ESET en 2021 qui exploite des serveurs IIS compromis pour les services de procuration et la fraude SEO.<\/p>\n Trend Micro, cependant, a not\u00e9 que les artefacts de logiciels malveillants d\u00e9tect\u00e9s partagent des similitudes avec une variante utilis\u00e9e par le groupe 11, avec deux modes diff\u00e9rents pour effectuer une fraude SEO et injecter du code JavaScript suspect dans des r\u00e9ponses pour les demandes de visiteurs l\u00e9gitimes.<\/p>\n “Les Badiis install\u00e9s peuvent modifier les informations d’en-t\u00eate de r\u00e9ponse HTTP demand\u00e9es au serveur Web”, ont d\u00e9clar\u00e9 les chercheurs. “Il v\u00e9rifie les champs ‘utilisateur-agent’ et ‘r\u00e9f\u00e9rences’ dans l’en-t\u00eate HTTP re\u00e7u.”<\/p>\n “Si ces champs contiennent des sites de portail de recherche sp\u00e9cifiques ou des mots cl\u00e9s, Badiis redirige l’utilisateur vers une page associ\u00e9e \u00e0 un site de jeu ill\u00e9gal en ligne au lieu d’une page Web l\u00e9gitime.”<\/p>\n Le d\u00e9veloppement intervient alors que Silent Push a li\u00e9 le Funnull Content Network (CDN) bas\u00e9 en Chine \u00e0 une pratique qu’il appelle le blanchiment d’infrastructure, dans lequel les acteurs de menace louent des adresses IP des fournisseurs d’h\u00e9bergement traditionnels tels que Amazon Web Services (AWS) et Microsoft Azure et utilisation eux pour h\u00e9berger des sites Web criminels.<\/p>\n Funnull aurait lou\u00e9 plus de 1 200 IPs d’Amazon et pr\u00e8s de 200 IP de Microsoft, qui ont depuis \u00e9t\u00e9 retir\u00e9s depuis. L’infrastructure malveillante, surnomm\u00e9e Triad Nexus, a \u00e9t\u00e9 constat\u00e9e pour alimenter les sch\u00e9mas de phishing au d\u00e9tail, les escroqueries d’app\u00e2ts romantiques et les op\u00e9rations de blanchiment d’argent via de faux sites de jeu.<\/p>\n “Mais les nouveaux IP sont continuellement acquis toutes les quelques semaines”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 dit<\/a>. “Funnull utilise probablement des comptes frauduleux ou vol\u00e9s pour acqu\u00e9rir ces IPS pour mapper \u00e0 leurs CNames.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Dragonrank-exploite-les-serveurs-IIS-avec-des-logiciels-malveillants-Badiis.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n