Um novo ataque cibernético, denominado Operação Rewrite, utiliza um módulo malicioso chamado BadIIS para sequestrar servidores web legítimos que operam com o Internet Information Services (IIS). Observada pela primeira vez em março de 2025, essa campanha de envenenamento de SEO redireciona visitantes desavisados para sites fraudulentos e de malware. A análise indica que os atacantes, presumivelmente de origem chinesa, empregam uma abordagem em duas fases: na fase de envenenamento, o BadIIS intercepta solicitações de crawlers de motores de busca e serve conteúdo malicioso que é indexado, enquanto na fase de redirecionamento, usuários reais são levados a sites controlados pelos atacantes. O BadIIS apresenta várias variantes, incluindo um manipulador ASP.NET e um módulo C# que intercepta erros 404 para injetar páginas de golpe. Para mitigar esses ataques, as equipes de segurança devem auditar listas de módulos do IIS e monitorar conexões de saída para domínios de comando e controle identificados. Ferramentas como Palo Alto Networks podem ajudar a bloquear esses conteúdos maliciosos e interromper comunicações com os atacantes.
Fonte: https://cyberpress.org/badiis-iis-server-hijacking/
⚠️BR DEFENSE CENTER: SECURITY BRIEFING
23/09/2025 • Risco: ALTO
ATAQUE
Ataques Usam Módulo BadIIS para Sequestrar Servidores IIS e Distribuir Malware
RESUMO EXECUTIVO
A Operação Rewrite representa uma ameaça significativa para servidores IIS, com um método de ataque que pode comprometer a segurança de dados e a conformidade regulatória. A utilização de técnicas de SEO para redirecionar tráfego para sites maliciosos destaca a necessidade de vigilância e resposta rápida por parte das equipes de segurança.
💼 IMPACTO DE NEGÓCIO
Financeiro
Possíveis perdas financeiras devido a fraudes e danos à reputação.
Operacional
Redirecionamento de usuários para sites de golpe e malware.
Setores vulneráveis
['Setor financeiro', 'E-commerce', 'Tecnologia da informação']
📊 INDICADORES CHAVE
Campanha observada pela primeira vez em março de 2025.
Indicador
Várias variantes do módulo BadIIS identificadas.
Contexto BR
Domínios de C2 relacionados à infraestrutura do Grupo 9.
Urgência
⚡ AÇÕES IMEDIATAS
1
Auditar listas de módulos do IIS em busca de DLLs incomuns.
2
Implementar monitoramento de conexões de saída para domínios de C2 identificados.
3
Analisar continuamente as respostas dos crawlers e a atividade de web shell.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a segurança dos servidores IIS, que são amplamente utilizados em ambientes corporativos. O ataque pode comprometer a integridade de dados e a reputação da empresa.
⚖️ COMPLIANCE
Implicações diretas para a conformidade com a LGPD, especialmente em relação à proteção de dados pessoais.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
