IISpy backdoor vai após servidores Microsoft IIS

O IISpy Backdoor é um Trojan perigoso, que tem como alvo um determinado serviço do Windows - os Serviços de Informações da Internet (IIS). O objetivo do malware é o reconhecimento e a espionagem. É por isso que ele se concentra em tarefas que permitiriam evitar a detecção e persistir pelo maior tempo possível. De acordo com especialistas, as primeiras amostras do Backdoor IISpy datam de julho de 2020, então parece que este Trojan está em uso há mais de um ano. Os criminosos contam com uma ampla gama de explorações e ferramentas de escalonamento de privilégios para dar ao implante a capacidade de manipular as configurações do Windows.

O que é surpreendente sobre o backdoor é que ele funciona como uma extensão para servidores IIS. Isso pode tornar a detecção ainda mais difícil. Além disso, mostra que os autores do IISpy Backdoor estão muito familiarizados com a funcionalidade e o desempenho dos Serviços de Informações da Internet do Windows.

O que faz o backdoor IISpy?

Por ser executado como uma extensão do IIS, o IISpy Backdoor é capaz de espionar facilmente o tráfego HTTP e combinar sua própria comunicação com solicitações de rede legítimas. Isso torna a detecção mais difícil, a menos que a vítima use as ferramentas de monitoramento de rede apropriadas para capturar as conexões obscuras. Depois que o backdoor compromete um servidor com sucesso, seus operadores ganham a capacidade de realizar as seguintes tarefas:

• Receba detalhes de hardware e software sobre a vítima.
• Faça upload ou download de arquivos.
• Execute arquivos e comandos remotos.
• Abra um shell reverso.
• Gerenciar arquivos e pastas na máquina infectada.
• Exfiltrar arquivos.

Normalmente, o malware IIS é muito mais barulhento quando se trata de comunicação com o servidor remoto ou exfiltração de dados. Eles contam com cabeçalhos HTTP específicos ou senhas e chaves especiais para concluir tarefas como execução remota de código. O IISpy Backdoor, no entanto, usa uma técnica mais avançada, o que torna a impressão digital de pacotes perigosos muito mais difícil.

Até o momento, não há informações suficientes para determinar os vetores de infecção usados para entregar o backdoor IISpy. Além disso, os pesquisadores não conseguiram vincular nenhum grupo de ameaça a esta campanha. Ataques como esse em questão podem ser frustrados usando protocolos, políticas e software antivírus adequados de segurança de rede.