GhostRedirector a compromis au moins 65 serveurs Windows pour détourner le trafic et manipuler les résultats de recherche. Une extension malveillante d’Internet Information Services, nommée Gamshen, sert de pivot : elle modifie les réponses serveur uniquement pour Googlebot. Les visiteurs réels ne voient rien. Des backdoors sur-mesure comme Rungan assurent le contrôle à distance. Le but ? Booster artificiellement des sites de jeux d’argent, surtout pour des publics hispanophones et lusophones. ESET a publié l’analyse principale de cette campagne, active depuis août 2024, et plusieurs acteurs de cybersécurité — dont Trend Micro, Symantec, Kaspersky et Bitdefender — ont confirmé des motifs proches dans leurs télémetries. Ces compromissions touchent des hôpitaux, des universités et des commerces, principalement au Brésil, en Thaïlande et au Vietnam. L’attaque privilégie l’opportunisme plutôt que des cibles sectorielles précises.
Comment le module IIS Gamshen permet la fraude SEO et l’interception de Googlebot
Le mécanisme est simple et rusé. Gamshen s’installe comme module natif d’IIS. Il intercepte les requêtes HTTP et cherche le fingerprint de Googlebot. Si la requête correspond, le module remplace la réponse légitime par du contenu injecté depuis un serveur de commande et contrôle.
Concrètement, le serveur compromis conserve un comportement normal pour la majorité des internautes. Mais pour l’indexeur de Google, le site devient un vecteur de backlinks et de redirections favorisant des pages de pari. Les moteurs sont manipulés sans toucher directement au code visible du site.
La technique contourne souvent les détections classiques. Les équipes de Palo Alto Networks et Fortinet soulignent que l’examen des modules IIS et la corrélation des logs d’accès selon l’User-Agent sont essentiels. Des acteurs comme CrowdStrike recommandent d’auditer les modules signés et de vérifier les certificats de signature de code. Gamshen signe l’efficience d’une nouvelle forme de « SEO fraud as-a-service ».
La clé : l’illusion de légitimité pour les moteurs de recherche.
Chaîne d’attaque : de l’accès initial aux comptes administrateurs persistants
L’intrusion débute souvent via une faille web classique, comme une injection SQL non corrigée. Les opérateurs téléchargent ensuite leur arsenal par PowerShell ou CertUtil. Des outils publics de montée de privilèges, comme EfsPotato ou BadPotato, sont activés pour créer des comptes administrateurs furtifs.
Une fois les droits élevés, Rungan — un backdoor C++ passif — permet l’exécution de commandes à distance. Zunput scanne les hôtes actifs et dépose des webshells multiples, garantissant des chemins d’accès alternatifs si un backdoor est détecté. Les comptes administrateurs créés servent de points de persistance durable.
Les signaux d’attribution incluent une clé de signature liée à une entreprise chinoise, des chaînes en chinois dans le binaire et un mot de passe incorporant « huang ». ESET lie ces éléments à un acteur baptisé GhostRedirector avec confiance moyenne. Des fournisseurs comme Sophos et Bitdefender recommandent d’auditer la création de comptes système et de surveiller les escalades de privilèges pour interrompre ces chaînes.
La persistance repose sur des comptes cachés et des modules serveur indétectables pour l’utilisateur lambda.
Victimes, conséquences et réputation des hôtes compromis
Les victimes sont hétérogènes : santé, commerce, transport, éducation, technologies. L’approche est opportuniste. Les serveurs compromis se trouvent majoritairement au Brésil, en Thaïlande et au Vietnam, mais aussi aux États-Unis, au Pérou, au Canada et en Europe.
L’impact direct sur les visiteurs est faible. Le vrai dommage est intangible : la réputation. Un site reconnu par Google comme participant à des techniques de black-hat SEO peut voir sa visibilité organique pervertie. Les équipes marketing découvrent parfois, trop tard, que leur nom sert à promouvoir des pages de jeu d’argent.
Des cas illustrent le risque : une clinique régionale a vu son domaine utilisé pour rediriger l’indexation vers des sites de pari. Les équipes de réponse ont dû collaborer avec des fournisseurs comme Trend Micro et Symantec pour éradiquer les modules malveillants et nettoyer la réputation indexée. Les régulateurs et partenaires peuvent aussi perdre confiance, entraînant des impacts commerciaux.
La compromission abîme la réputation du domaine, parfois plus dangereuse que la perte de données.
Détection et mesures à prendre pour protéger IIS et les serveurs Windows
Priorité zéro : appliquer les patches Windows et corriger les vulnérabilités web connues. Auditer les modules IIS et vérifier les signatures de code détecte souvent Gamshen. Observer les patterns d’accès de Googlebot et croiser les IP et résolutions DNS aide à repérer des injections ciblées.
Limiter l’usage de CertUtil et logger toutes les exécutions de PowerShell permet de repérer les téléchargements non autorisés. Les EDR et solutions NGAV de fournisseurs comme CrowdStrike, Fortinet ou Palo Alto Networks sont utiles pour détecter les comportements anormaux. ESET, Bitdefender et Sophos proposent des IOCs partagés qui aident à identifier Rungan et Zunput.
Enfin, surveiller la création d’administrateurs locaux, mettre en place des alertes SIEM et exiger des revues manuelles des modules installés sur IIS ferment les fenêtres d’exploitation. Pour les équipes en charge, la meilleure défense reste la combinaison : patching, visibilité réseau, contrôle des comptes et coopération avec les éditeurs de sécurité.
La protection passe par la détection précoce et la réduction des privilèges sur chaque serveur.
Source: cybersecuritynews.com
Commentaires
Laisser un commentaire