Een overtuigende lookalike van de populaire 7-Zip archiveringssite heeft een trojanized installer verspreid die de computers van slachtoffers stilletjes omzet in residentiële proxy-knooppunten – en deze site is al enige tijd in het openbaar verborgen gebleven.
"Ik ben zo misselijk."
Een pc-bouwer wendde zich onlangs in paniek tot de Reddit-community r/pcmasterrace nadat hij zich realiseerde dat hij 7-Zip van de verkeerde website had gedownload. Na een YouTube Tijdens een tutorial voor een nieuwe build werd hen gevraagd 7-Zip te downloaden van 7zip[.]com, zonder te weten dat het officiële project uitsluitend op 7-zip.org wordt gehost.
In hun Reddit-bericht beschreef de gebruiker hoe ze het bestand eerst op een laptop installeerden en het later via USB overzetten naar een nieuw gebouwde desktopcomputer. Ze stuitten herhaaldelijk op 32-bits versus 64-bits fouten en gaven uiteindelijk het installatieprogramma op ten gunste van een andere oplossing. Windows ingebouwde extractietools. Bijna twee weken later gaf Microsoft Defender een algemene waarschuwing op het systeem: Trojan:Win32/Malgent!MSR.
Deze ervaring illustreert hoe een ogenschijnlijk kleine domeinverwarring kan leiden tot langdurig, ongeoorloofd gebruik van een systeem wanneer aanvallers zich met succes voordoen als vertrouwde softwaredistributeurs.
Een trojanized installer die zich voordoet als legitieme software
Dit is geen eenvoudig geval van een kwaadaardige download die op een willekeurige site wordt gehost. De beheerders achter 7zip[.]com verspreidden een trojanized installer via een lookalike domein, waarbij ze een functionele kopie van de functionele 7‑Zip File Manager leverden samen met een verborgen malware payload.
Het installatieprogramma is Authenticode-ondertekend met een inmiddels ingetrokken certificaat dat is uitgegeven aan Jozeal Network Technology Co., Limited, waardoor het een schijnbare legitimiteit krijgt. Tijdens de installatie wordt een gewijzigde versie van 7zfm.exe wordt geïmplementeerd en functioneert zoals verwacht, waardoor het wantrouwen van gebruikers wordt verminderd. Tegelijkertijd worden drie extra componenten stilzwijgend verwijderd:
- Uphero.exe— een servicemanager en updatelader
- hero.exe— de primaire proxy-payload (Go-gecompileerd)
- hero.dll— een ondersteunende bibliotheek
Alle componenten worden geschreven naar C:\Windows\SysWOW64\hero\, een bevoorrechte map die waarschijnlijk niet handmatig wordt geïnspecteerd.
Er werd ook een onafhankelijk update-kanaal waargenomen op update.7zip[.]com/version/win-service/1.0.0.2/Uphero.exe.zip, wat aangeeft dat de malware-payload onafhankelijk van het installatieprogramma zelf kan worden bijgewerkt.
Misbruik van vertrouwde distributiekanalen
Een van de meest zorgwekkende aspecten van deze campagne is de afhankelijkheid van het vertrouwen in derden. De zaak-Reddit benadrukt dit. YouTube tutorials als onbedoelde verspreidingsroute voor malware, waarbij makers ten onrechte verwijzen naar 7zip.com in plaats van het legitieme domein.
Dit laat zien hoe aanvallers kleine fouten in verder onschuldige content-ecosystemen kunnen misbruiken om slachtoffers op grote schaal naar kwaadaardige infrastructuur te leiden.
Uitvoeringsstroom: van installatieprogramma naar permanente proxyservice
Gedragsanalyse toont een snelle en methodische infectieketen aan:
1. Bestandsimplementatie: de payload wordt geïnstalleerd in SysWOW64, waarvoor verhoogde rechten vereist zijn en wat duidt op een intentie tot diepgaande systeemintegratie.
2. Volharding via Windows diensten—Beide Uphero.exe en hero.exe zijn geregistreerd als autostart Windows De services worden uitgevoerd onder systeemrechten, waardoor de uitvoering bij elke opstart gegarandeerd is.
3. Manipulatie van firewallregels—De malware roept op netsh om bestaande regels te verwijderen en nieuwe regels voor inkomend en uitgaand verkeer voor de binaire bestanden te maken. Dit is bedoeld om interferentie met het netwerkverkeer te verminderen en naadloze updates van de payload te ondersteunen.
4. Hostprofilering — Met behulp van WMI en native Windows Via API's inventariseert de malware systeemkenmerken, waaronder hardware-identificaties, geheugengrootte, aantal CPU's , schijfkenmerken en netwerkconfiguratie. De malware communiceert met iplogger[.]org via een speciaal rapportage-eindpunt, wat suggereert dat het apparaat- of netwerkmetadata verzamelt en rapporteert als onderdeel van zijn proxy-infrastructuur.
Functioneel doel: monetarisering van residentiële proxy's
Hoewel de eerste indicatoren wezen op backdoor-achtige mogelijkheden, bleek uit verdere analyse dat de primaire functie van de malware proxyware is. De geïnfecteerde host wordt geregistreerd als een residentiële proxyknooppunt, waardoor derden verkeer via het IP-adres van het slachtoffer kunnen routeren.
De hero.exe component haalt configuratiegegevens op van roterende "smshero"-thema command-and-control-domeinen en brengt vervolgens uitgaande proxyverbindingen tot stand op niet-standaardpoorten zoals 1000 en 1002. Verkeersanalyse toont een lichtgewicht XOR-gecodeerd protocol (sleutel 0x70) gebruikt om controleberichten te verbergen.
Deze infrastructuur komt overeen met bekende residentiële proxyservices, waarbij toegang tot echte IP-adressen van consumenten wordt verkocht voor fraude, scraping, misbruik van advertenties of het witwassen van anonimiteit.
Gedeelde tools voor meerdere nepinstallatieprogramma's
De 7-Zip-imitatie lijkt deel uit te maken van een bredere operatie. Gerelateerde binaire bestanden zijn geïdentificeerd onder namen als upHola.exe, upTiktok, upWhatsapp en upWire, die allemaal dezelfde tactieken, technieken en procedures hanteren:
- Implementatie in SysWOW64
- Windows servicepersistentie
- Manipulatie van firewallregels via
netsh - Versleuteld HTTPS C2-verkeer
Ingesloten tekenreeksen die verwijzen naar VPN En proxy-merken suggereren een uniforme backend die meerdere distributiekanalen ondersteunt.
Roterende infrastructuur en versleuteld transport
Geheugenanalyse bracht een groot aantal hardgecodeerde command-and-control-domeinen aan het licht die gebruikmaken van hero en smshero naamgevingsconventies. Actieve resolutie tijdens sandbox-uitvoering toonde aan dat het verkeer via de Cloudflare-infrastructuur werd gerouteerd met TLS-versleutelde HTTPS-sessies.
De malware maakt ook gebruik van DNS-over-HTTPS via de resolver van Google, waardoor de zichtbaarheid voor traditionele DNS-monitoring wordt verminderd en netwerkgebaseerde detectie wordt bemoeilijkt.
Ontwijkings- en anti-analysefuncties
De malware bevat meerdere lagen van sandbox en analyseontwijking:
- Detectie van virtuele machines gericht op VMware, VirtualBox, QEMU en Parallels
- Anti-debuggingcontroles en het laden van verdachte debugger-DLL's
- Runtime API-resolutie en PEB-inspectie
- Procesopsomming, registeronderzoek en omgevinginspectie
Er is uitgebreide ondersteuning voor cryptografie, waaronder AES, RC4, Camellia, Chaskey, XOR-codering en Base64, wat duidt op versleutelde configuratieverwerking en verkeersbeveiliging.
Defensieve begeleiding
Elk systeem dat installatieprogramma's van 7zip.com heeft uitgevoerd, moet als gecompromitteerd worden beschouwd. Hoewel deze malware zich op systeemniveau nestelt en firewallregels wijzigt, kan betrouwbare beveiligingssoftware de schadelijke componenten effectief detecteren en verwijderen. Malwarebytes is in staat om bekende varianten van deze dreiging volledig uit te roeien en de persistentiemechanismen ervan ongedaan te maken. In risicovolle of intensief gebruikte systemen kiezen sommige gebruikers mogelijk nog steeds voor een volledige herinstallatie van het besturingssysteem voor absolute zekerheid, maar dit is niet in alle gevallen strikt noodzakelijk.
Gebruikers en verdedigers moeten:
- Controleer softwarebronnen en maak bladwijzers van officiële projectdomeinen
- Wees sceptisch ten aanzien van onverwachte identiteiten voor het ondertekenen van code.
- Controleer op ongeautoriseerde toegang Windows wijzigingen in services en firewallregels
- Blokkeer bekende C2-domeinen en proxy-eindpunten aan de rand van het netwerk
Onderzoekersattributie en gemeenschapsanalyse
Dit onderzoek zou niet mogelijk zijn geweest zonder het werk van onafhankelijke beveiligingsonderzoekers die verder keken dan de oppervlakkige indicatoren en het werkelijke doel van deze malwarefamilie hebben ontdekt.
- Luke Acha leverde de eerste uitgebreide analyse waarin hij aantoonde dat de Uphero/hero-malware functioneert als residentiële proxyware in plaats van als een traditionele backdoor. In zijn werk documenteerde hij het proxyprotocol, de verkeerspatronen en het verdienmodel, en bracht hij deze campagne in verband met een bredere operatie die hij upStage Proxy noemde. Het volledige verslag van Luke is te lezen op zijn blog.
- s1dhy breidde deze analyse uit door het aangepaste, op XOR gebaseerde communicatieprotocol te reverse-engineeren en te decoderen, het proxygedrag te valideren aan de hand van packet captures en meerdere proxy-eindpunten te correleren over de geografische locaties van de slachtoffers. Technische notities en bevindingen werden openbaar gedeeld op X ( Twitter ) .
- Andrew Danis leverde aanvullende infrastructuuranalyse en clustering, waardoor het nep-installatieprogramma van 7-Zip in verband kon worden gebracht met gerelateerde proxyware-campagnes die misbruik maakten van andere softwaremerken.
Aanvullende technische validatie en dynamische analyse zijn gepubliceerd door onderzoekers van RaichuLab op Qiita en WizSafe Security op IIJ.
Hun gezamenlijke werk benadrukt het belang van open, door de gemeenschap aangestuurd onderzoek bij het blootleggen van langdurige misbruikcampagnes die gebaseerd zijn op vertrouwen en misleiding in plaats van op misbruik.
Afsluitende gedachten
Deze campagne laat zien hoe effectief merkimitatie in combinatie met technisch geavanceerde malware gedurende langere tijd onopgemerkt kan blijven. Door misbruik te maken van het vertrouwen van gebruikers in plaats van softwarekwetsbaarheden te exploiteren, omzeilen aanvallers veel traditionele beveiligingsmaatregelen en veranderen ze alledaagse downloads van hulpprogramma's in een langdurige infrastructuur voor het genereren van inkomsten.
Malwarebytes Detecteert en blokkeert bekende varianten van deze proxywarefamilie en de bijbehorende infrastructuur.
Indicatoren van compromissen (IOC's)
Bestandspaden
C:\Windows\SysWOW64\hero\Uphero.exeC:\Windows\SysWOW64\hero\hero.exeC:\Windows\SysWOW64\hero\hero.dll
Bestandshashes (SHA-256)
e7291095de78484039fdc82106d191bf41b7469811c4e31b4228227911d25027(Uphero.exe)b7a7013b951c3cea178ece3363e3dd06626b9b98ee27ebfd7c161d0bbcfbd894(hero.exe)3544ffefb2a38bf4faf6181aa4374f4c186d3c2a7b9b059244b65dce8d5688d9(hero.dll)
Netwerkindicatoren
Domeinen:
soc.hero-sms[.]coneo.herosms[.]coflux.smshero[.]conova.smshero[.]aiapex.herosms[.]aispark.herosms[.]iozest.hero-sms[.]aiprime.herosms[.]vipvivid.smshero[.]vipmint.smshero[.]compulse.herosms[.]ccglide.smshero[.]ccsvc.ha-teams.office[.]comiplogger[.]org
Waargenomen IP's (Cloudflare-fronted):
104.21.57.71172.67.160.241
Hostgebaseerde indicatoren
- Windows services met afbeeldingspaden die verwijzen naar
C:\Windows\SysWOW64\hero\ - Firewallregels met de naam Uphero of hero (inkomend en uitgaand)
- Mutex:
Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7
Van het melden van bedreigingen tot het verwijderen ervan.
Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .
