گروه جرایم سایبری چینی حلقه تقلب جهانی سئو را با استفاده از سرورهای IIS آسیب‌دیده اداره می‌کند

محققان امنیت سایبری گروه جنایتکار چینی‌زبان با نام رمز UAT-8099 را شناسایی کرده‌اند که به کلاهبرداری بهینه‌سازی موتورهای جستجو (SEO fraud) و سرقت اطلاعات حساس از سرورهای Microsoft Internet Information Services (IIS) می‌پردازد. این گروه که در آوریل ۲۰۲۵ کشف شد، عمدتاً سرورهای واقع در هند، تایلند، ویتنام، کانادا و برزیل را هدف قرار داده و دانشگاه‌ها، شرکت‌های فناوری و ارائه‌دهندگان مخابرات را مورد حمله قرار می‌دهد. پژوهشگر سیسکو تالوس، جوی چن، اظهار داشت: “UAT-8099 با تمرکز بر سرورهای IIS معتبر و با ارزش در مناطق هدف، رتبه‌بندی جستجو را دستکاری می‌کند.”

این گروه پس از نفوذ به سرورها از طریق آسیب‌پذیری‌های امنیتی یا تنظیمات ضعیف، وب شل‌ها (web shells) و ابزارهای هکینگ متن‌باز از جمله Cobalt Strike را برای حفظ دسترسی و ارتقای سطح دسترسی تا مدیر سیستم استفاده می‌کند. UAT-8099 همچنین بدافزار BadIIS را نصب می‌کند که قابلیت عملکرد در سه حالت Proxy، Injector و SEO fraud را دارد و تنها زمانی فعال می‌شود که درخواست از گوگل (Googlebot) ارسال شود. این گروه از تکنیک backlinking برای افزایش مصنوعی رتبه‌بندی وب‌سایت‌ها استفاده کرده و کاربران را به تبلیغات غیرمجاز یا وب‌سایت‌های قمار غیرقانونی هدایت می‌کند.