Atak SEO DragonRank: Ukryta manipulacja serwerami IIS

Zaawansowana strategia wykorzystania rankingów wyszukiwania

DragonRank SEO Attack to kampania obserwowana na serwerach Internet Information Services (IIS) , szczególnie w częściach Azji i Brazylii. Celem tej operacji jest manipulowanie rankingami wyszukiwarek poprzez wstrzykiwanie złośliwych komponentów do treści internetowych, przekierowywanie użytkowników do nielegalnych witryn i wykorzystywanie naruszonych serwerów w celu uzyskania korzyści finansowych. Ta aktywność jest powiązana ze znaną grupą, która wykorzystuje niestandardowe tylne drzwi, często identyfikowane jako BadIIS, do realizacji swojej strategii.

Jaki jest prawdziwy cel DragonRank?

Głównym celem tego ataku wydaje się być zysk finansowy, osiągnięty poprzez eksploatację rankingu wyszukiwania i nieautoryzowane przekierowania. Poprzez naruszenie serwerów IIS należących do agencji rządowych, uniwersytetów i firm technologicznych, atakujący modyfikują sposób, w jaki te serwery odpowiadają na żądania sieciowe. Pozwala im to przekierowywać niczego niepodejrzewających odwiedzających do nieautoryzowanych miejsc docelowych, w tym witryn hazardowych i nieuczciwych platform hostujących strony kradzieży danych uwierzytelniających.

Manipulacja nie kończy się na prostych przekierowaniach. Atakujący wdrażają mechanizm, który sprawdza przychodzące żądania pod kątem określonych identyfikatorów wyszukiwarek lub słów kluczowych. Jeśli zostanie znalezione dopasowanie, użytkownik jest automatycznie wysyłany do witryny wybranej przez atakującego zamiast oczekiwanej legalnej strony. Umożliwia to operatorom zagrożeń manipulowanie wzorcami ruchu i wpływanie na algorytmy wyszukiwarek, zwiększając widoczność nielegalnych witryn.

Konsekwencje dla organizacji i użytkowników

Wpływ tego ataku jest znaczący, dotykając zarówno właścicieli witryn, jak i odwiedzających. Organizacje hostujące serwery IIS mogą odkryć, że ich domeny są zamieszane w oszustwa wyszukiwania bez ich wiedzy. Może to prowadzić do utraty wiarygodności, naruszeń bezpieczeństwa i potencjalnego umieszczenia na czarnej liście przez wyszukiwarki. Ponadto, ponieważ niektóre z tych naruszonych serwerów należą do instytucji rządowych i branż krytycznych, istnieje ryzyko poważniejszych naruszeń danych, jeśli atakujący rozszerzą swoje działania poza oszustwa SEO.

Konsekwencje dla użytkowników wahają się od przekierowania na wprowadzające w błąd lub nielegalne strony do potencjalnego narażenia na szkodliwe oprogramowanie. Niektóre z tych nieuczciwych stron mogą zawierać dodatkowe zagrożenia, takie jak próby phishingu lub próby zbierania poufnych informacji.

Linki do większych sieci cyberprzestępczości

Uważa się, że kampania DragonRank jest powiązana z szerszą siecią działań cyberprzestępczych. Wcześniejsze badania powiązały tę operację z grupą oznaczoną jako Grupa 9, która wcześniej angażowała się w podobne naruszenia serwerów IIS. Dalsza analiza sugeruje, że pokrywa się ona z odrębną jednostką, Grupą 11, która stosuje podobne taktyki, w tym możliwość wykonywania oszustw SEO i wstrzykiwania szkodliwych skryptów na strony internetowe.

Innym aspektem tego zagrożenia jest jego związek z praniem brudnych pieniędzy w infrastrukturze — praktyką, w której cyberprzestępcy pozyskują adresy IP od głównych dostawców hostingu i wykorzystują je w celach oszukańczych. Z tą metodą powiązano chińską sieć znaną jako Funnull, która podobno wynajmuje tysiące adresów IP od dostawców takich jak Amazon Web Services i Microsoft Azure. Te adresy IP powiązano z działaniami oszukańczymi, w tym schematami phishingu, oszustwami finansowymi i fałszywymi platformami hazardowymi.

Ewolucja manipulacji wyszukiwarkami

Ten atak podkreśla rosnący trend, w którym cyberprzestępcy wykorzystują algorytmy wyszukiwania do nielegalnych celów. Przejmując zaufaną infrastrukturę internetową, omijają tradycyjne mechanizmy wykrywania i uzyskują dostęp do znacznego ruchu sieciowego. Takie taktyki nie tylko szkodzą niezawodności wyszukiwarek, ale także wprowadzają nowe zagrożenia dla użytkowników online, którzy mogą nieświadomie wchodzić w interakcje z zainfekowanymi witrynami.

W miarę jak cyberprzestępcy udoskonalają swoje techniki, organizacje muszą podejmować proaktywne kroki w celu zabezpieczenia swoich środowisk internetowych. Wzmocnienie konfiguracji serwera IIS, monitorowanie anomalii ruchu i wdrażanie rygorystycznych kontroli bezpieczeństwa może pomóc złagodzić ryzyko stwarzane przez kampanie takie jak DragonRank. Tymczasem operatorzy wyszukiwarek i badacze cyberbezpieczeństwa nadal śledzą i przeciwdziałają tym rozwijającym się zagrożeniom.