IISpy Backdoor va dopo i server Microsoft IIS

L'IISpy Backdoor è un pericoloso Trojan che prende di mira un particolare servizio Windows: Internet Information Services (IIS). L'obiettivo del malware è la ricognizione e lo spionaggio. Questo è il motivo per cui si concentra su compiti che gli consentirebbero di eludere il rilevamento e di persistere il più a lungo possibile. Secondo gli esperti, i primi campioni di IISpy Backdoor risalgono a luglio 2020, quindi sembra che questo Trojan sia in uso da oltre un anno. I criminali fanno affidamento su un'ampia gamma di exploit e strumenti di escalation dei privilegi per dare all'impianto la possibilità di manipolare le impostazioni di Windows.

Ciò che sorprende della backdoor è che funziona come un'estensione per i server IIS. Ciò potrebbe rendere il rilevamento ancora più difficile. Inoltre, mostra che gli autori di IISpy Backdoor hanno molta familiarità con le funzionalità e le prestazioni di Windows Internet Information Services.

Cosa fa IISpy Backdoor?

Poiché funziona come un'estensione per IIS, IISpy Backdoor è in grado di spiare facilmente il traffico HTTP e mescolare la propria comunicazione con le richieste di rete legittime. Ciò rende il rilevamento più difficile a meno che la vittima non utilizzi gli strumenti di monitoraggio della rete appropriati per acquisire le connessioni losche. Dopo che la backdoor compromette con successo un server, i suoi operatori acquisiscono la capacità di eseguire le seguenti attività:

• Ricevi dettagli hardware e software sulla vittima.
• Carica o scarica file.
• Esegue file e comandi remoti.
• Apri un guscio inverso.
• Gestisci file e cartelle sulla macchina infetta.
• Esfiltrare file.

In genere, il malware IIS è molto più rumoroso quando si tratta di comunicare con il server remoto o di estrarre dati. Si basano su intestazioni HTTP specifiche o su password e chiavi speciali per completare attività come l'esecuzione di codice remoto. IISpy Backdoor, tuttavia, utilizza una tecnica più avanzata, che rende molto più difficile il fingerprinting dei pacchetti pericolosi.

Finora, non ci sono informazioni sufficienti per determinare i vettori di infezione utilizzati per fornire IISpy Backdoor. Inoltre, i ricercatori non sono stati in grado di collegare alcun gruppo di minacce a questa campagna. Attacchi come quello in questione possono essere contrastati utilizzando adeguati protocolli di sicurezza di rete, policy e software antivirus.