Un grupo de ciberdelincuentes de habla china, conocido como UAT-8099, ha sido vinculado desde abril de 2025 con fraudes en la optimización de motores de búsqueda (SEO) y el robo de credenciales valiosas. Los ataques se han concentrado principalmente en servidores Microsoft Internet Information Services (IIS), afectando a universidades, empresas tecnológicas y proveedores de telecomunicaciones en países como India, Tailandia, Vietnam, Canadá y Brasil.
¡Cuidado… incluso con tu SEO!
Este grupo utiliza una variedad de herramientas, como Cobalt Strike y BadIIS, además de scripts automatizados que evaden las defensas de seguridad. Estos métodos les permiten manipular las clasificaciones de SEO mediante la carga de web shells en servidores vulnerables. Se ha observado que una variante específica del malware se adapta para eludir la detección por software antivirus y se activa al detectar solicitudes provenientes de Google.
Según informes de los investigadores de ciberseguridad, UAT-8099 manipula los rankings de búsqueda centrándose en servidores IIS de alto valor y reputación en las regiones objetivo. La técnica de enlace (backlinking) que emplean es convencional, diseñada para aumentar la visibilidad de los sitios web, pero conlleva el riesgo de penalizaciones por parte de Google si la calidad de estos enlaces no es adecuada.
Una vez que logran comprometer un servidor, el grupo establece medidas para mantener el control, como habilitar el acceso a cuentas de invitado y utilizar el Protocolo de Escritorio Remoto (RDP) para acceder a los servidores IIS. Esta persistencia les permite buscar datos valiosos dentro de los sistemas comprometidos, que luego pueden ser revendidos o explotados ulteriormente.
Si bien no está claro cuántos servidores han sido comprometidos hasta la fecha, la sofisticación y la adaptabilidad del grupo UAT-8099 destacan en la creciente amenaza de fraudes cibernéticos basados en SEO, lo que plantea serias preocupaciones sobre la seguridad de las infraestructuras digitales globales.