De Strings PDB para MaaS: Rastreando um Ecossistema de BadIIS como Mercadoria

Resumo

Cisco Talos identificou uma variante de malware BadIIS marcada por demo.pdb e a vinculou a um ecossistema de malware como serviço usado por vários cibercriminosos de língua chinesa. O malware tem como alvo os servidores Microsoft IIS para manipulação de SEO, redirecionamento de tráfego malicioso, proxy reverso para rastreadores de motores de busca e injeção de backlinks. Os operadores podem personalizar implantações por meio de um criador modular que suporta configurações personalizadas, incluindo opções de evasão para produtos antivírus específicos como Norton. Talos observou essa atividade em todo o mundo desde pelo menos setembro de 2021 até o início de 2026.

Investigação

Talos examinou caminhos PDB, componentes do criador e lógica de autenticação para reconstruir a história e o modelo operacional do malware. Pesquisadores descobriram que um criador dedicado cria arquivos de configuração, redirecionadores JavaScript e cargas úteis de backlink PHP, enquanto codifica endereços de comando e controle com uma chave XOR de um único byte de 0x3. O malware se autentica com seu C2 verificando a string de resposta lwxat e usa um esquema Base64 personalizado para manipulação de dados. Talos também descobriu instaladores de serviço relacionados e ferramentas de entrega que compartilhavam a mesma base de código e padrões de design.

Mitigação

ClamAV e Snort fornecem detecções baseadas em assinaturas para essa família BadIIS. Os defensores devem monitorar o agente do usuário personalizado lwxatisme e o nome do serviço do Windows Winlogin, já que ambos podem servir como indicadores de advertência precoce. O reforço do IIS deve incluir restrição na instalação de serviços não aprovados, auditoria de registros de módulos do IIS e bloqueio de tráfego de saída para infraestrutura maliciosa conhecida. Manter as assinaturas de antivírus atualizadas com as últimas variantes BadIIS pode reduzir ainda mais a exposição.

Resposta

Se for descoberta atividade BadIIS, os respondedores devem isolar o servidor IIS afetado e interromper o serviço do Windows malicioso. Arquivos de configuração e artefatos PDB devem ser coletados e revisados para determinar a variante exata da compilação em uso. Domínios de comando e controle ou endereços IP associados devem ser bloqueados, e DLLs comprometidos devem ser removidos para que os módulos legítimos do IIS possam ser restaurados. Atualizações de detecção também devem ser compartilhadas com colegas confiáveis da indústria para melhorar a cobertura defensiva mais ampla.

Execução de Simulação

Pré-requisito: A Verificação de Telemetria e Linha de Base deve ter sido aprovada.

Fundamento: Esta seção detalha a execução precisa da técnica do adversário projetada para acionar a regra de detecção. Os comandos e a narrativa produzem diretamente a telemetria esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  Um atacante que ganhou direitos de usuário limitados copia um pacote de DLL malicioso no host comprometido. O pacote inclui três arquivos PDB colocados em locais historicamente usados por amostras de BadIIS. Ao criar esses arquivos, o atacante deixa um artefato forense que a regra Sigma observa. O atacante usa padrão Copy-Item (PowerShell) para soltar os arquivos, evitando qualquer assinatura de ferramenta adicional.

• Script de Teste de Regressão:

  # Simulação de Caminho PDB BadIIS – aciona a regra Sigma
  $paths = @(
      "C:UsersAdministratorDesktop2021-09-30x64Releasedemo.pdb",
      "C:UsersAdministratorDesktopdll-no503Releasedemo.pdb",
      "C:UsersAdministratorDesktop兼容百度浏览器+劫持robots.txtx64Releasedemo.pdb"
  )
  foreach ($p in $paths) {
      $dir = Split-Path $p -Parent
      if (-not (Test-Path $dir)) {
          New-Item -Path $dir -ItemType Directory -Force | Out-Null
      }
      New-Item -Path $p -ItemType File -Force | Out-Null
  }
  Write-Host "Arquivos PDB do BadIIS criados – a detecção deve ser acionada."

• Comandos de Limpeza:

  # Remover os arquivos PDB do BadIIS simulados e diretórios
  $paths = @(
      "C:UsersAdministratorDesktop2021-09-30",
      "C:UsersAdministratorDesktopdll-no503",
      "C:UsersAdministratorDesktop兼容百度浏览器+劫持robots.txt"
  )
  foreach ($base in $paths) {
      if (Test-Path $base) {
          Remove-Item -Path $base -Recurse -Force
      }
  }
  Write-Host "Limpeza completa."