گروه هکری UAT-8099 وابسته به چین با بدافزار BadIIS سرورهای IIS در آسیا را هدف قرار می‌دهد

محققان امنیت سایبری کمپینی جدید را کشف کرده‌اند که به گروه تهدید مرتبط با چین با نام UAT-8099 نسبت داده می‌شود و بین اواخر سال ۲۰۲۵ و اوایل ۲۰۲۶ رخ داده است. این فعالیت که توسط سیسکو تالوس کشف شده، سرورهای آسیب‌پذیر Internet Information Services (IIS) را در سراسر آسیا هدف قرار داده، اما تمرکز خاصی بر اهداف در تایلند و ویتنام دارد. جوی چن، محقق امنیتی، اعلام کرد که “UAT-8099 از وب شل‌ها (web shells) و پاورشل برای اجرای اسکریپت‌ها و استقرار ابزار GotoHTTP استفاده می‌کند که به مهاجم دسترسی از راه دور به سرورهای آسیب‌پذیر IIS را می‌دهد.”

زنجیره حمله با دستیابی اولیه UAT-8099 به سرور IIS آغاز می‌شود، معمولاً از طریق سوءاستفاده از آسیب‌پذیری امنیتی یا تنظیمات ضعیف در قابلیت آپلود فایل سرور وب. سپس مهاجم ابزارهای مخربی مانند Sharp4RemoveLog (حذف گزارش‌های رویداد ویندوز)، CnCrypt Protect (مخفی کردن فایل‌های مخرب)، OpenArk64 و GotoHTTP را مستقر می‌کند و بدافزار BadIIS را با ایجاد حساب‌های کاربری مخفی به نام‌های “admin$” یا “mysql$” اجرا می‌کند. بدافزار BadIIS درخواست‌های ورودی به سرورهای IIS را اسکن می‌کند تا بررسی کند آیا بازدیدکننده یک خزنده موتور جستجو است یا خیر؛ در صورت مثبت بودن، خزنده به یک سایت کلاهبرداری سئو (SEO fraud) هدایت می‌شود. سیسکو تالوس سه نوع متمایز در خوشه BadIIS asdSearchEngine شناسایی کرده که به‌طور خاص کاربران تایلندی را هدف قرار می‌دهد و نشانه‌هایی از توسعه فعال نسخه لینوکس این بدافزار نیز وجود دارد.