IISerpentは、マイクロソフト社のWebサーバーソフトウェアであるIISに悪意のある拡張機能として実装および構成されます。このため、このマルウェアはセキュリティが侵害されたサーバーがホストしているWebサイトへのすべてのHTTPリクエストを傍受できるだけでなく、サーバーのHTTPレスポンスを改変することも可能です。これまでに連載したブログでは、ECサイトの顧客からクレジットカード情報を窃取するIIStealerや、侵害されたIISサーバー上でバックドアコマンドを実行するIISpyなどのIISマルウェアファミリーについて説明しました。

これらのIISマルウェアファミリーとは異なり、IISerpentは感染したサーバーにもサーバーのユーザーにも直接影響を与えません。実際、このマルウェアは、侵害したWebサイトの正規ユーザーのすべてのリクエストは完全に無視します。IISerpentは、侵害したサーバーに送信されたすべてのHTTPリクエストを傍受および解析して、特定の検索エンジンのクローラーから発信されたリクエストだけを検索します。図 1に示すように、IISerpentはこれらのリクエストをC&Cサーバーにリレーして（またはローカルの構成を使用して）、これらのクローラーに提供されるコンテンツを改変します。

この仕組みの目的とは？検索エンジンは、定期的にインターネットをクロールし、ネット上のすべてのコンテンツのインデックス（レコード）を作成し、検索ワードとコンテンツの関連性を構築し、さまざまなアルゴリズムによって特定の検索ワードに対する検索結果順位を算出します。

検索エンジンの結果ページでページの表示ランキングを上位にするためには、広告を購入したり、 検索エンジン最適化 （SEO）戦略を取り入れたりなど、さまざまな合法的な方法を用いることができますが、すべてのデジタルマーケティングの担当者がルールを遵守しているわけではありません。非倫理的なSEO （過去にはブラックハットSEOと呼ばれていました）とは、無関係なキーワードでページをロードしたり、Webサイトの評価を高めるために被リンクを購入したりするようなSEOブースト手法を指しますが、これらの手法は、Webマスターのガイドラインに違反します。

IISerpentの攻撃パターンは、これらの非倫理的なSEO手法が採用されています。Webマスターの同意なしにサードパーティの利益のために、侵害されたIISサーバー上でSEO詐欺の手法を実行しているため、「サービスとしてのSEO詐欺」と表現できます。IISerpentのオペレータは、このマルウェアを使用して侵害されたWebサイトのランキングに寄生し、サードパーティのWebサイトのページ検索順位を高めるために、以下の手法を利用します。

• →検索エンジンを攻撃者が選択する特定のWebサイトにリダイレクトして、侵害されたWebサイトを事実上のドアウェイページにする。
• →被リンクのリスト（あらかじめ構成したリスト、またはC&Cサーバーからその都度取得するリスト）を検索エンジンのクローラー用のHTTPレスポンスに注入し、IISerpentによって侵害されたサーバーをリンクファームにする。

図 2に示したシナリオの例では、攻撃者がIISerpentを使用して多数のIISサーバーを侵害し、そのマルウェアの機能を使用してこれらのサーバーがホストしているすべてのWebサイトに被リンクを挿入します。1～NまでのWebサイトは評価の高い正規のサイトです。検索エンジンのクローラーから見ると、これらのWebサイトはすべて、攻撃者が選択したWebサイト（この場合は詐欺サイト）にリンクしています。そのため、この詐欺サイトは、評価の高いWebサイトとリンクしているため、人気があるように見え、ページの検索順位が上昇する可能性があります。

IISerpentは、IISのネイティブモジュールであり、C++ DLLとして実装され、 %windir%system32\inetsrv\config\ApplicationHost.configファイルで構成されます。これにより、IISerpentは常駐化とコマンド実行が可能となります。すべてのIISモジュールは、IISワーカープロセス（w3wp.exe）によってロードされ、受信したHTTPリクエストを処理するために使用されます。

IISerpentマルウェアのオペレータが、IISサーバーに最初に侵入する方法については不明ですが、IISのネイティブモジュールとして構成するためには 管理者権限が必要であることから、可能性があるシナリオを絞り込むことができます。Webアプリケーションまたはサーバーの構成上の弱点や脆弱性が原因となっている可能性があります。

他のIISネイティブモジュールと同じように、IISerpentはRegisterModuleという関数をエクスポートします（図 3を参照）。この関数は、モジュールを初期化します。悪意のあるコア機能は、イベントハンドラ に隠されており、特定のサーバーイベントで呼び出されるモジュールクラス（CHttpModuleから継承）のメソッドになっています。具体的には、IISerpentのコードクラスは、OnBeginRequestメソッドとOnSendResponseメソッドをオーバーライドしており、IISサーバーが受信したHTTPリクエストの処理を新たに開始するときに、また、レスポンスバッファを送信するときに、必ずこのマルウェアのハンドラが呼び出されます。

IISerpentは、図 4に示すように、User-Agentヘッダーを解析して特定の部分文字列を検索して、検索エンジンのクローラーのリクエストを認識します。redirecturlフィールドが構成されている場合、マルウェアはHTTPレスポンスでLocationヘッダーを設定して、User-Agentヘッダーにspiderまたはbotという文字列が含まれるすべてのリクエストをこのURLにリダイレクトします。HTTPステータスは301 (“Moved Permanently”)に設定されます。

IISerpentだけが、SEO詐欺の機能がある悪意のあるIISモジュールではありません。ホワイトペーパー 「ネイティブIISマルウェアの解析」（英語のみ）に記載してある、ESETが分析した14のマルウェアファミリーのうちの6つのマルウェアがSEO詐欺の手法を取り入れていました。これらのマルウェアファミリーでは、SEO詐欺の機能が他の悪意のある機能（バックドアのサポートや、Webサイトへの正規のユーザーに悪意のあるコンテンツを提供するなど）とバンドルされていることが多くあります。

IISerpentを最初に検出したのは2021年5月ですが、SEO詐欺については、2019年にSecpulseがIISサーバーに影響を与える新しいマルウェアに関するインシデントレポートを中国語で公表した最初の攻撃の事例まで遡って追跡できました。IISerpentマルウェアの分析とSEO詐欺の機能については、ESETホワイトペーパーのグループ9のカテゴリで説明しています。

ESETでは、さまざまなSEO詐欺マルウェアファミリーを分析してきました。これらのSEO詐欺マルウェアが使用する非倫理的なSEO手法も多様であり、さまざまな検索エンジンクローラーを対象にしています。平文で指定するもの（ホワイトペーパーのグループ12、図 5を参照）、暗号化されたリストとして指定するもの（グループ9）、C&Cサーバーのホスト名のDNS TXTレコードを照会してオンザフライで取得する（グループ11）手法があります。これらのファミリーはすべて、ESETのセキュリティソリューションによってWin32/BadIISとして検出されます。