Un groupe de cybercriminels de langue chinoise, connu sous le nom de UAT-8099, a été lié depuis avril 2025 à des fraudes en optimisation des moteurs de recherche (SEO) et au vol de précieuses informations d’identification. Les attaques se sont principalement concentrées sur des serveurs Microsoft Internet Information Services (IIS), touchant des universités, des entreprises technologiques et des fournisseurs de télécommunications dans des pays comme l’Inde, la Thaïlande, le Vietnam, le Canada et le Brésil.
Attention… même avec votre SEO !
Ce groupe utilise une variété d’outils, comme Cobalt Strike et BadIIS, ainsi que des scripts automatisés qui contournent les défenses de sécurité. Ces méthodes leur permettent de manipuler les classements SEO en chargeant des web shells sur des serveurs vulnérables. On a observé qu’une variante spécifique du malware s’adapte pour échapper à la détection par les logiciels antivirus et s’active lorsqu’elle détecte des requêtes provenant de Google.
Selon des rapports des chercheurs en cybersécurité, UAT-8099 manipule les classements de recherche en se concentrant sur des serveurs IIS de haute valeur et de bonne réputation dans les régions ciblées. La technique de lien (backlinking) qu’ils utilisent est conventionnelle, conçue pour augmenter la visibilité des sites web, mais elle comporte le risque de pénalités de la part de Google si la qualité de ces liens n’est pas adéquate.
Une fois qu’ils parviennent à compromettre un serveur, le groupe met en place des mesures pour maintenir le contrôle, comme activer l’accès aux comptes invités et utiliser le Protocole de Bureau à Distance (RDP) pour accéder aux serveurs IIS. Cette persistance leur permet de rechercher des données précieuses au sein des systèmes compromis, qui peuvent ensuite être revendues ou exploitées ultérieurement.
Bien qu’il ne soit pas clair combien de serveurs ont été compromis jusqu’à présent, la sophistication et l’adaptabilité du groupe UAT-8099 se distinguent dans la menace croissante des fraudes cybernétiques basées sur le SEO, ce qui soulève de sérieuses préoccupations concernant la sécurité des infrastructures numériques mondiales.