IISpy Backdoor geht nach Microsoft IIS-Servern
Die IISpy Backdoor ist ein gefährlicher Trojaner, der auf einen bestimmten Windows-Dienst – die Internet Information Services (IIS) – abzielt. Das Ziel der Malware ist Aufklärung und Spionage. Aus diesem Grund konzentriert es sich auf Aufgaben, die es ihm ermöglichen, einer Entdeckung zu entgehen und so lange wie möglich zu bestehen. Laut Experten stammen die ersten Muster der IISpy Backdoor aus dem Juli 2020, so dass dieser Trojaner anscheinend seit über einem Jahr im Einsatz ist. Die Kriminellen verlassen sich auf eine breite Palette von Exploits und Tools zur Rechteausweitung, um dem Implantat die Möglichkeit zu geben, Windows-Einstellungen zu manipulieren.
Überraschend an der Hintertür ist, dass sie wie eine Erweiterung für IIS-Server funktioniert. Dies kann die Erkennung noch schwieriger machen. Darüber hinaus zeigt es, dass die Autoren der IISpy Backdoor mit der Funktionalität und Leistung von Windows Internet Information Services sehr vertraut sind.
Was macht die IISpy Backdoor?
Da es als Erweiterung für IIS ausgeführt wird, kann die IISpy Backdoor problemlos HTTP-Datenverkehr ausspionieren und ihre eigene Kommunikation mit legitimen Netzwerkanfragen mischen. Dies erschwert die Erkennung, es sei denn, das Opfer verwendet die entsprechenden Tools zur Netzwerküberwachung, um die zwielichtigen Verbindungen zu erfassen. Nachdem die Backdoor einen Server erfolgreich kompromittiert hat, können seine Operatoren die folgenden Aufgaben ausführen:
- Erhalten Sie Hardware- und Softwaredetails über das Opfer.
- Dateien hochladen oder herunterladen.
- Führen Sie Dateien und Remote-Befehle aus.
- Öffnen Sie eine umgekehrte Shell.
- Verwalten Sie Dateien und Ordner auf dem infizierten Computer.
- Dateien exfiltrieren.
Normalerweise ist IIS-Malware viel neugieriger, wenn es um die Kommunikation mit dem Remote-Server oder das Exfiltrieren von Daten geht. Sie verlassen sich auf bestimmte HTTP-Header oder spezielle Passwörter und Schlüssel, um Aufgaben wie die Remotecodeausführung auszuführen. IISpy Backdoor verwendet jedoch eine fortschrittlichere Technik, die das Fingerabdruck der gefährlichen Pakete viel schwieriger macht.
Bisher gibt es nicht genügend Informationen, um die Infektionsvektoren zu bestimmen, die für die Bereitstellung der IISpy-Backdoor verwendet werden. Darüber hinaus konnten die Forscher keine Bedrohungsgruppe mit dieser Kampagne in Verbindung bringen. Angriffe wie der fragliche können durch die Verwendung geeigneter Netzwerksicherheitsprotokolle, Richtlinien und Antivirensoftware vereitelt werden.
