偽の7-Zipダウンロードが家庭用PCをプロキシノードに変えている

人気のある7-Zipアーカイブサイトのそっくりサイトが、トロイの木馬化されたインストーラーを配布しており、被害者のマシンを居住用プロキシノードに密かに変換している。この偽サイトは長い間、公然と存在していた。

「本当に気分が悪い」

最近、あるPC自作ユーザーが、7-Zipを間違ったウェブサイトからダウンロードしてしまったことに気づき、パニックに陥りRedditのr/pcmasterraceコミュニティに助けを求めた。 YouTube 新しいビルドのチュートリアルでは、7zip[.]com から 7-Zip をダウンロードするように指示されましたが、正規のプロジェクトは 7-zip.org でのみホストされていることを知りませんでした。

Redditの投稿で、ユーザーはまずラップトップにファイルをインストールし、その後USB経由で新しく構築したデスクトップに転送したと説明しました。32ビットと64ビットのエラーが繰り返し発生し、最終的にインストーラーを諦めてWindows組み込みの抽出ツール。約 2 週間後、Microsoft Defender が一般的な検出結果「Trojan:Win32/Malgent!MSR」でシステムを警告しました。

この事例は、一見些細なドメインの混同が、攻撃者が信頼できるソフトウェア配布業者を装うことに成功した場合、システムの長期間にわたる不正使用につながる可能性があることを示している。

正当なソフトウェアを装ったトロイの木馬化されたインストーラー

これは単なるランダムなサイトにホストされた悪意のあるダウンロードのケースではない。7zip[.]comの運営者は、類似ドメインを通じてトロイの木馬化されたインストーラーを配布し、機能する7-Zipファイルマネージャーのコピーと共に隠されたマルウェアペイロードを配信した。

インストーラーは、Jozeal Network Technology Co., Limitedに発行された（現在は失効済みの）証明書を使用してAuthenticode署名されており、表面的な正当性を装っている。インストール時には、改変されたビルドの 7zfm.exe 展開され、期待通りに機能することでユーザーの疑念を軽減する。並行して、以下の3つの追加コンポーネントが静かにドロップされる：

• Uphero.exe—サービスマネージャーおよび更新プログラムローダー
• hero.exe—主要プロキシペイロード（Goコンパイル済み）
• hero.dll—サポートライブラリ

すべてのコンポーネントは書き込まれます C:\Windows\SysWOW64\hero\手動で検査される可能性が低い、特権ディレクトリ。

独立した更新チャネルも観察された update.7zip[.]com/version/win-service/1.0.0.2/Uphero.exe.zipこれは、マルウェアのペイロードがインストーラー本体とは独立して更新可能であることを示している。

信頼された流通経路の悪用

このキャンペーンのより懸念される側面の1つは、第三者の信頼に依存している点です。Redditの事例は、 YouTube チュートリアルが意図せずマルウェアの配布経路となるケースがあり、作成者が正規のドメインではなく誤って7zip.comを参照してしまうことが原因となっている。

これは、攻撃者が一見無害なコンテンツエコシステム内の小さな欠陥を悪用し、被害者を大規模に悪意のあるインフラへと誘導する方法を示している。

実行フロー：インストーラーから永続プロキシサービスへ

行動分析は、迅速かつ系統的な感染連鎖を示している：

1. ファイル展開—ペイロードはSysWOW64にインストールされ、管理者権限を必要とし、深いシステム統合の意図を示している。

2. 持続性Windows サービス—両方 Uphero.exe そして hero.exe 自動起動として登録されていますWindows システム権限で実行されるサービスであり、起動のたびに確実に実行されます。

3. ファイアウォールルールの操作—マルウェアが呼び出す netsh 既存のルールを削除し、そのバイナリに対する新規の受信および送信許可ルールを作成します。これによりネットワークトラフィックへの干渉を軽減し、シームレスなペイロード更新をサポートすることを目的としています。

4. ホストプロファイリング— WMIとネイティブ機能の使用Windows APIを介して、このマルウェアはハードウェア識別子、メモリサイズ、 CPU数、ディスク属性、ネットワーク構成などのシステム特性を列挙します。また、専用のレポートエンドポイントを介してiplogger[.]orgと通信しており、プロキシインフラストラクチャの一部としてデバイスまたはネットワークのメタデータを収集して報告していることが示唆されます。

機能目標：住宅用プロキシの収益化

初期の指標はバックドア型の機能を示唆していたが、詳細な分析により、このマルウェアの主機能はプロキシウェアであることが判明した。感染したホストは住宅用プロキシノードとして登録され、第三者が被害者のIPアドレスを経由してトラフィックをルーティングすることを可能にする。

について hero.exe コンポーネントは「smshero」をテーマとしたローテーションするコマンドアンドコントロールドメインから設定データを取得し、その後1000や1002などの非標準ポートでアウトバウンドプロキシ接続を確立する。トラフィック分析により、軽量なXOR暗号化プロトコル（鍵 0x70制御メッセージを隠蔽するために使用される。

このインフラは、既知の住宅用プロキシサービスと同様であり、実際の消費者IPアドレスへのアクセスが、詐欺、スクレイピング、広告不正利用、または匿名性の洗浄目的で販売されている。

複数の偽インストーラー間で共有されるツール

7-Zipを装った偽装は、より広範な作戦の一部であるようだ。関連するバイナリは以下のような名前で特定されている： upHola.exeアップティックトック、アップワッツアップ、そしてアップワイヤーは、いずれも同一の戦術、技術、手順を共有している：

• SysWOW64への展開
• Windows サービス継続性
• ファイアウォールルールの操作による netsh
• 暗号化されたHTTPS C2通信

埋め込み文字列参照VPN また、プロキシブランドは、複数の流通チャネルをサポートする統一されたバックエンドを示唆している。

ローテーションするインフラストラクチャと暗号化されたトランスポート

メモリ解析により、ハードコードされた多数のコマンドアンドコントロールドメインが発見された。 hero そして smshero 命名規則。サンドボックス実行中のアクティブな解決では、トラフィックがCloudflareインフラストラクチャを経由してルーティングされ、TLSで暗号化されたHTTPSセッションが確認された。

このマルウェアはGoogleのリゾルバーを介したDNS-over-HTTPSも使用しており、従来のDNS監視の可視性を低下させるとともに、ネットワークベースの検知を複雑化させる。

回避および分析対策機能

マルウェアは複数のサンドボックスと分析回避策を組み込んでいる：

• VMware、VirtualBox、QEMU、Parallelsを対象とした仮想マシン検出
• デバッグ対策チェックと不審なデバッガーDLLの読み込み
• ランタイムAPI解決とPEB検査
• プロセスの列挙、レジストリの調査、環境の検査

暗号化サポートは広範で、AES、RC4、カメリア、チャスキー、XORエンコーディング、Base64などを含む。これにより、暗号化された設定処理と通信保護が示唆される。

防御的ガイダンス

7zip.comからインストーラーを実行したシステムは、すべて侵害されているとみなすべきです。このマルウェアはSYSTEMレベルでの永続性を確立し、ファイアウォールルールを変更しますが、信頼できるセキュリティソフトウェアであれば、悪意のあるコンポーネントを効果的に検出して削除できます。 Malwarebytes このツールは、既知のこの脅威の亜種を完全に駆除し、その永続化メカニズムを無効化することができます。リスクの高いシステムや使用頻度の高いシステムでは、絶対的な安全性を確保するためにOSの完全再インストールを選択するユーザーもいるかもしれませんが、必ずしもすべての場合に必須というわけではありません。

ユーザーと擁護者は次のことを行うべきである：

• ソフトウェアソースを確認し、公式プロジェクトドメインをブックマークする
• 予期しないコード署名識別情報には懐疑的に対処する
• 不正な監視Windows サービスとファイアウォールルールの変更
• ネットワーク境界で既知のC2ドメインとプロキシエンドポイントをブロックする

研究者の帰属とコミュニティ分析

この調査は、表面的な指標を超えて深く掘り下げ、このマルウェアファミリーの真の目的を特定した独立系セキュリティ研究者たちの尽力なしには実現しなかった。

• ルーク・アチャは、Uphero/heroマルウェアが従来のバックドアではなく、住宅用プロキシウェアとして機能することを示す初の包括的分析を提供した。彼の研究はプロキシプロトコル、トラフィックパターン、収益化モデルを文書化し、このキャンペーンを彼がupStage Proxyと名付けた広範なオペレーションと結びつけた。ルークの詳細な分析は彼のブログで公開されている。
• s1dhy はこの分析をさらに発展させ、カスタムの XOR ベースの通信プロトコルをリバースエンジニアリングしてデコードし、パケットキャプチャを通じてプロキシの動作を検証し、被害者の地理的位置全体にわたって複数のプロキシエンドポイントを関連付けました。技術的なメモと調査結果はX ( Twitter ) で公開されています。
• アンドルー・ダニス氏は、追加のインフラ分析とクラスタリングに貢献し、偽の 7-Zip インストーラを、他のソフトウェアブランドを悪用する関連プロキシウェアキャンペーンと結びつける手助けをしました。

RaichuLabの研究者による追加の技術的検証と動的解析がQiitaで、WizSafe SecurityによるものがIIJで公開されました。

彼らの共同研究は、脆弱性悪用ではなく信頼と誤った方向付けに依存する長期にわたる悪用キャンペーンを暴く上で、オープンでコミュニティ主導の研究がいかに重要かを浮き彫りにしている。

結びの言葉

このキャンペーンは、ブランドなりすましと技術的に高度なマルウェアを組み合わせることで、長期間にわたり検知されずに活動できることを実証している。ソフトウェアの脆弱性を悪用するのではなくユーザーの信頼を悪用することで、攻撃者は従来のセキュリティ前提の多くを回避し、日常的なユーティリティのダウンロードを長期にわたる収益化インフラへと変貌させる。

Malwarebytes このプロキシウェアファミリーの既知の亜種および関連するインフラストラクチャを検出し、ブロックします。

妥協の指標（IOCs）

ファイルパス

• C:\Windows\SysWOW64\hero\Uphero.exe
• C:\Windows\SysWOW64\hero\hero.exe
• C:\Windows\SysWOW64\hero\hero.dll

ファイルハッシュ（SHA-256）

• e7291095de78484039fdc82106d191bf41b7469811c4e31b4228227911d25027 (Uphero.exe)
• b7a7013b951c3cea178ece3363e3dd06626b9b98ee27ebfd7c161d0bbcfbd894 (hero.exe)
• 3544ffefb2a38bf4faf6181aa4374f4c186d3c2a7b9b059244b65dce8d5688d9 (hero.dll)

ネットワーク指標

ドメイン:

• soc.hero-sms[.]co
• neo.herosms[.]co
• flux.smshero[.]co
• nova.smshero[.]ai
• apex.herosms[.]ai
• spark.herosms[.]io
• zest.hero-sms[.]ai
• prime.herosms[.]vip
• vivid.smshero[.]vip
• mint.smshero[.]com
• pulse.herosms[.]cc
• glide.smshero[.]cc
• svc.ha-teams.office[.]com
• iplogger[.]org

観測されたIPアドレス（Cloudflare経由）：

• 104.21.57.71
• 172.67.160.241

ホストベースの指標

• Windows 画像パスが指すサービス C:\Windows\SysWOW64\hero\
• ファイアウォールルール「Uphero」または「hero」（インバウンドおよびアウトバウンド）
• ミューテックス: Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7

脅威の報告から、それらを排除することまで。

サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。