ESETのテレメトリ（監視データ）によると、このバックドアは少なくとも2020年7月から活動しており、特権昇格ツールであるJuicy Potato（ESETのセキュリティソリューションではWin64/HackTool.JuicyPotatoとして検出）と一緒に使用されていました。攻撃者は、何らかの脆弱性を最初に攻撃してIISサーバーへのアクセス権限を取得し、次にJuicy Potatoを利用してIISpyをIISのネイティブ拡張機能として インストールするために必要な管理者権限を取得していると考えられます。

ESETのテレメトリによると、カナダ、米国、オランダにある数台のIISサーバーがIISpyの影響を受けていますが、管理者はIISサーバーでセキュリティソフトウェアを使用していないことが多く、ESETが監視しているIISサーバーが限定されていることからも、この統計データはこの問題の全体像を示しているわけではないと考えられます。

IISpyはIISの拡張機能として構成されるため、侵害されたIISサーバーが受信したすべてのHTTPリクエストを見ることができ、サーバーが応答するHTTPレスポンスに影響を与えることができます。IISpyは、このチャネルを使用してC&Cと通信し、受動的なネットワークインプラントとして動作します。図 1に示すように、（バックドアではなく）オペレータは、侵害されたサーバーに特別なHTTPリクエストを送信して、接続を開始します。バックドアは、攻撃者のリクエストを認識し、リクエストに埋め込まれたバックドアコマンドを抽出して実行し、コマンドの出力を追加するようにHTTPレスポンスを変更します。

利用されるバックドアコマンドは以下のとおりです。

• システム情報の取得
• ファイルのアップロード/ダウンロード
• ファイルやシェルコマンドの実行
• リバースシェルの作成
• ファイルやフォルダの作成/リストアップ/移動/名前変更/削除
• ローカルドライブとリモートドライブ間でのマッピングの作成
• 収集したデータの外部への送信

IISpyは、正規のユーザーが侵害されたIISサーバーに送信した他のすべてのHTTPリクエストは無視します。これらのリクエストは正規のサーバーモジュールによって処理されます。

IISpyのオペレータによる管理リクエストの構造はあらかじめ定義されており、CookieやHostヘッダーとURLの間で特別な関係が秘密裏に設定されています。このようなリクエストを識別するために、IISpyはまず、受信したHTTPリクエストのURLとHostヘッダーの両方のMD5ハッシュを計算し、各MD5を4つのダブルワードに分割します。

• <h0><h1><h2><h3> = md5（Hostヘッダー値）
• <r0><r1><r2><r3> = md5（ローURLの値）

次に、Cookieヘッダーにこれらの値から作られた部分文字列が含まれていることを確認します。

• <r1><h2>=<h3><r2><r3><r0><h0><h1>

図 2は、この部分文字列がどのように組み立てられるかを示しています。バックドアコマンドは、AES-CBCで暗号化され、base64でエンコードされて、HTTPボディに埋め込まれます。

IISpyはIIS C++ APIで書かれており、IHttpContext、IHttpRequest、IHttpResponseのインターフェイスのインスタンスを使用して、HTTPリクエストを解析し、HTTPレスポンスを操作します。

すべてのIISネイティブモジュールと同じように、IISpyモジュールもRegisterModuleという関数をエクスポートしなければなりません。この関数では、図 3に示すように、コアクラスのインスタンスを作成し、 IHttpModuleRegistrationInfo::SetRequestNotificationsメソッドを使ってサーバーイベント用のメソッドを登録します。

IISpyのコアクラスはCHttpModuleを継承しており、図 4に示すように、そのメソッドのうち、3つのメソッド（サーバーイベントのイベントハンドラ）をオーバーライドします。

• OnBeginRequestは、サーバーが新しいHTTPリクエストの処理を開始するときに必ず呼び出され、IISpyはこのハンドラを使用して攻撃者のリクエストを検索して解析します。
• HTTPのrequest-processingパイプラインの最後のステップで呼び出されるOnEndRequestが、IISpyのバックドアインタープリタを実装します。
• OnLogRequestは、IISサーバーが処理されたHTTPリクエストをログに記録する直前に呼び出される仕組みになっており、IISpyの処理がログに記録されないようにしています。

IISpyは、IHttpModuleRegistrationInfo::SetPriorityForRequestNotification APIを使用して、これらのハンドラを最も高い優先度で登録します。同じイベントでいくつものIISモジュール（悪意のあるモジュールと正規のモジュール）が登録される可能性があります。そのため、優先度を設定しておけば、IISpyのハンドラが、同じイベントで他のハンドラよりも必ず先に実行され登録されるようになります。

最後に、IISpyはOnLogRequestイベントハンドラを実装します。このハンドラは、IISサーバーが処理されたHTTPリクエストをログに記録する直前に呼び出されます。このバックドアは、このハンドラを使用して攻撃者のリクエストのログエントリを修正し、一般的なリクエストのように偽装します。この操作の手順を以下に示します。攻撃者のリクエストに関するログエントリを変更する図 5も参照してください。

• リクエストのHTTPメソッドをGETに書き換える
• リクエストのURLを/に書き換える
• リクエストから以下のヘッダーを削除する。
  Cookie、Origin、Referer、Sec-Fetch-Mode、Sec-Fetch-Site、Content-Type、Content-Length、X-Forwarded-IP、X-Forwarded-For、X-Forwarded-By、X-Forwarded-Proto

このようにログエントリを変更することで、攻撃者は悪意のある活動の痕跡を隠ぺいし、フォレンジック分析を困難にします。