BadIIS è una famiglia di malware associata a implant malevoli per web server, soprattutto componenti che si collocano all'interno della pipeline delle richieste HTTP e alterano il modo in cui un server risponde. In pratica, può fare da proxy, riscrivere o reindirizzare selettivamente il traffico, in modo che visitatori diversi ricevano contenuti diversi. Questo lo rende utile per le frodi perché utenti normali, crawler dei motori di ricerca e strumenti di sicurezza potrebbero non vedere la stessa pagina.
Questo è importante nella sicurezza informatica perché il server stesso diventa il punto di controllo dell'attaccante. Gli implant in stile BadIIS possono supportare frodi SEO, manipolazione dei risultati di ricerca, furto di credenziali o dati e modellamento occulto del traffico, mentre il sito continua a sembrare online. I difensori dovrebbero cercare reindirizzamenti specifici per i crawler, modifiche inattese nel contenuto delle pagine e moduli o binari del server non familiari sull'host. Poiché questi implant operano a livello del web server, le sole scansioni del perimetro possono non individuarli; spesso sono necessari l'ispezione dell'host e i controlli di integrità dei file per confermare la compromissione.