Hacker nutzen bösartiges IIS-Modul, um Windows-Server zu infiltrieren und Suchergebnisse zu verändern

GhostRedirector hat mindestens 65 Windows-Server kompromittiert, um den Datenverkehr umzuleiten und Suchergebnisse zu manipulieren. Eine bösartige Internetinformationsdienste-Erweiterung namens Gamshen dient als Dreh- und Angelpunkt: Sie modifiziert Serverantworten exklusiv für den Googlebot. Echte Besucher sehen nichts. Maßgeschneiderte Backdoors wie Rungan ermöglichen die Fernsteuerung. Das Ziel? Glücksspielseiten künstlich zu stärken, insbesondere für spanisch- und portugiesischsprachige Zielgruppen. ESET hat die erste Analyse dieser seit August 2024 aktiven Kampagne veröffentlicht, und mehrere Cybersicherheitsunternehmen – darunter Trend Micro, Symantec, Kaspersky und Bitdefender – bestätigten in ihren Telemetriedaten ähnliche Motive. Die Angriffe betreffen Krankenhäuser, Universitäten und Unternehmen, vor allem in Brasilien, Thailand und Vietnam. Der Angriff zielt eher auf Opportunismus als auf spezifische Branchenziele. Wie das IIS-Modul Gamshen SEO-Betrug und das Abfangen des Googlebots ermöglicht Der Mechanismus ist einfach und raffiniert. Gamshenwird als natives IIS-Modul installiert. Es fängt HTTP-Anfragen ab und sucht nach dem Googlebot-Fingerabdruck. Wenn die Anfrage übereinstimmt, ersetzt das Modul die legitime Antwort durch Inhalte, die von einem Command-and-Control-Server eingeschleust werden. Konkret: Der kompromittierte Server verhält sich für die meisten Internetnutzer normal. Für den Indexer von Google wird die Website jedoch zu einem Vektor für Backlinks und Weiterleitungen, die Glücksspielseiten bevorzugen. Suchmaschinen werden manipuliert, ohne den sichtbaren Code der Website direkt zu beeinflussen. Diese Technik umgeht oft herkömmliche Erkennungsmethoden. Die Teams von Palo Alto Networks undFortinet betonen, wie wichtig die Untersuchung von IIS-Modulen und die Korrelation von Zugriffsprotokollen mit dem User Agent sind. Unternehmen wieCrowdStrike empfehlen die Prüfung signierter Module und die Überprüfung von Code-Signatur-Zertifikaten. Gamshen demonstriert die Effizienz einer neuen Form von „SEO-Betrug als Dienstleistung“. Der Schlüssel: die Illusion von Legitimität für Suchmaschinen.

Angriffskette: Vom ersten Zugriff auf persistente Administratorkonten Der Angriff beginnt oft über eine klassische Web-Sicherheitslücke, wie beispielsweise eine ungepatchte SQL-Injection. Die Angreifer laden dann ihr Arsenal über PowerShell

oder CertUtil herunter. Öffentliche Tools zur Rechteausweitung wie EfsPotatooder

BadPotato

werden aktiviert, um heimliche Administratorkonten zu erstellen. Sobald die Berechtigungen erhöht sind, ermöglicht Rungan – eine passive C++-Backdoor – die Remote-Befehlsausführung. Zunput scannt aktive Hosts und löscht mehrere Webshells, um alternative Zugriffspfade zu gewährleisten, falls eine Backdoor erkannt wird. Die erstellten Administratorkonten dienen als dauerhafte Persistenzpunkte. Zu den Attributionssignalen gehören ein Signaturschlüssel, der mit einem chinesischen Unternehmen verknüpft ist, chinesische Zeichenfolgen in der Binärdatei und ein Passwort mit dem Buchstaben „huang“. ESET verknüpft diese Elemente mit mittlerer Zuverlässigkeit mit einem Akteur namens GhostRedirector. Anbieter wie

Sophos

und

Bitdefender empfehlen, die Erstellung von Systemkonten zu prüfen und die Ausweitung von Berechtigungen zu überwachen, um diese Angriffsketten zu unterbrechen. Die Persistenz beruht auf versteckten Konten und Servermodulen, die für den durchschnittlichen Benutzer nicht erkennbar sind. Opfer, Folgen und Reputation kompromittierter HostsDie Opfer sind vielfältig: Gesundheitswesen, Einzelhandel, Transport, Bildung und Technologie. Der Ansatz ist opportunistisch. Die kompromittierten Server befinden sich hauptsächlich in Brasilien, Thailand und Vietnam, aber auch in den USA, Peru, Kanada und Europa. Die direkten Auswirkungen auf Besucher sind minimal. Der eigentliche Schaden ist immateriell: der Ruf. Eine Website, die von Google als an Black-Hat-SEO-Techniken beteiligt erkannt wird, kann ihre organische Sichtbarkeit beeinträchtigen. Marketingteams entdecken manchmal zu spät, dass ihr Name zur Werbung für Glücksspielseiten verwendet wird. Fälle veranschaulichen das Risiko: Die Domain einer regionalen Klinik wurde missbraucht, um die Indexierung auf Glücksspielseiten umzuleiten. Reaktionsteams mussten mit Anbietern wieTrend Micro

und Symantec zusammenarbeiten, um schädliche Module zu entfernen und die indexierte Reputation zu bereinigen. Auch Regulierungsbehörden und Partner können das Vertrauen verlieren, was zu wirtschaftlichen Auswirkungen führt. Der Angriff schädigt den Ruf der Domain, manchmal gefährlicher als Datenverlust.

Erkennung und Maßnahmen zum Schutz von IIS- und Windows-Servern Priorität Null: Windows-Patches anwenden und bekannte Web-Schwachstellen beheben. Durch die Prüfung von IIS-Modulen und die Überprüfung von Code-Signaturen werden häufig Gamshen aufgedeckt. Die Beobachtung der Zugriffsmuster des Googlebots und der Abgleich von IP- und DNS-Auflösungen helfen, gezielte Injektionen zu identifizieren. Die Einschränkung der Nutzung von CertUtil und die Protokollierung aller PowerShell-Ausführungen helfen, nicht autorisierte Downloads zu identifizieren. EDR- und NGAV-Lösungen von Anbietern wie CrowdStrike, Fortinet oder Palo Alto Networks sind hilfreich, um abnormales Verhalten zu erkennen. ESET, Bitdefender und Sophos bieten gemeinsame IOCs zur Identifizierung von Rungan und Zunput an. Die Überwachung der Erstellung lokaler Administratoren, die Einrichtung von SIEM-Warnmeldungen und die Anforderung manueller Überprüfungen der auf IIS installierten Module schließen Angriffsflächen. Für die verantwortlichen Teams bleibt die beste Verteidigung eine Kombination aus Patches, Netzwerktransparenz, Kontokontrolle und der Zusammenarbeit mit Sicherheitsanbietern. Schutz erfordert frühzeitige Erkennung und Rechtereduzierung auf jedem Server. Quelle: cybersecuritynews.com