Przekonująca podróbka popularnej strony archiwizatora 7-Zip udostępnia zainfekowany trojanem instalator, który w ukryciu przekształca komputery ofiar w domowe węzły proxy — i od pewnego czasu pozostaje niewidoczny dla użytkowników.
„Jest mi tak niedobrze”.
Pewien twórca komputerów PC zwrócił się ostatnio w panice do społeczności r/pcmasterrace na Reddicie, po tym jak zdał sobie sprawę, że pobrał 7‑Zip z niewłaściwej strony. YouTube W samouczku dotyczącym nowej kompilacji polecono im pobrać 7‑Zip ze strony 7zip[.]com, nie wiedząc, że legalny projekt jest hostowany wyłącznie na stronie 7-zip.org.
W swoim poście na Reddicie użytkownik opisał, że najpierw zainstalował plik na laptopie, a następnie przeniósł go przez USB na nowo zbudowany komputer stacjonarny. Napotkał powtarzające się błędy w wyborze wersji 32-bitowej i 64-bitowej i ostatecznie porzucił instalator na rzecz… Windows Wbudowane narzędzia do ekstrakcji. Prawie dwa tygodnie później Microsoft Defender wyświetlił alert w systemie z ogólnym wykryciem: Trojan:Win32/Malgent!MSR.
To doświadczenie pokazuje, jak pozornie niewielkie pomylenie domeny może skutkować długotrwałym, nieautoryzowanym użyciem systemu, gdy atakujący skutecznie podszywają się pod zaufanych dystrybutorów oprogramowania.
Zainfekowany trojanem instalator podszywający się pod legalne oprogramowanie
Nie jest to zwykły przypadek złośliwego pliku do pobrania umieszczonego na przypadkowej stronie internetowej. Operatorzy serwisu 7zip[.]com rozpowszechniali zainfekowany trojanem instalator za pośrednictwem podobnej domeny, dostarczając funkcjonalną kopię programu 7‑Zip File Manager wraz z ukrytym złośliwym oprogramowaniem.
Instalator jest podpisany certyfikatem Authenticode przy użyciu unieważnionego certyfikatu wydanego firmie Jozeal Network Technology Co., Limited, co nadaje mu pozory legalności. Podczas instalacji zmodyfikowana wersja programu 7zfm.exe jest wdrażany i działa zgodnie z oczekiwaniami, zmniejszając podejrzliwość użytkowników. Równolegle trzy dodatkowe komponenty są po cichu usuwane:
- Uphero.exe— menedżer usług i moduł ładujący aktualizacje
- hero.exe— główny ładunek proxy (skompilowany w języku Go)
- hero.dll— biblioteka pomocnicza
Wszystkie komponenty są zapisywane do C:\Windows\SysWOW64\hero\, uprzywilejowany katalog, który prawdopodobnie nie zostanie sprawdzony ręcznie.
Zaobserwowano również niezależny kanał aktualizacji pod adresem update.7zip[.]com/version/win-service/1.0.0.2/Uphero.exe.zip, co wskazuje, że ładunek złośliwego oprogramowania może być aktualizowany niezależnie od samego instalatora.
Nadużywanie zaufanych kanałów dystrybucji
Jednym z bardziej niepokojących aspektów tej kampanii jest jej poleganie na zaufaniu stron trzecich. Przypadek Reddita to podkreśla YouTube samouczki jako nieumyślny wektor dystrybucji złośliwego oprogramowania, w którym twórcy błędnie odnoszą się do 7zip.com zamiast do prawidłowej domeny.
To pokazuje, jak osoby atakujące mogą wykorzystywać drobne błędy w pozornie nieszkodliwych ekosystemach treści, żeby kierować ofiary do złośliwej infrastruktury na dużą skalę.
Przebieg wykonania: od instalatora do trwałej usługi proxy
Analiza zachowań pokazuje szybki i metodyczny łańcuch infekcji:
1. Wdrażanie plików— ładunek jest instalowany w folderze SysWOW64, co wymaga podwyższonych uprawnień i sygnalizuje zamiar głębokiej integracji z systemem.
2. Trwałość poprzez Windows usługi—Oba Uphero.exe oraz hero.exe są zarejestrowane jako autostart Windows usługi uruchamiane z uprawnieniami systemowymi, co gwarantuje wykonywanie ich przy każdym rozruchu.
3. Manipulowanie regułami zapory sieciowej—Złośliwe oprogramowanie wywołuje netsh w celu usunięcia istniejących reguł i utworzenia nowych reguł zezwalających na ruch przychodzący i wychodzący dla jego plików binarnych. Ma to na celu zmniejszenie zakłóceń w ruchu sieciowym i zapewnienie płynnych aktualizacji ładunku.
4. Profilowanie hosta — za pomocą WMI i natywnego Windows Za pomocą interfejsów API złośliwe oprogramowanie wylicza charakterystyki systemu, takie jak identyfikatory sprzętu, rozmiar pamięci, liczbę procesorów , atrybuty dysków i konfigurację sieci. Szkodliwe oprogramowanie komunikuje się z iplogger[.]org za pośrednictwem dedykowanego punktu końcowego raportowania, sugerując zbieranie i raportowanie metadanych urządzeń lub sieci w ramach infrastruktury proxy.
Cel funkcjonalny: monetyzacja proxy mieszkaniowego
Chociaż początkowe wskaźniki sugerowały funkcje typu backdoor, dalsza analiza wykazała, że podstawową funkcją złośliwego oprogramowania jest proxyware. Zainfekowany host jest rejestrowany jako domowy węzeł proxy, umożliwiając stronom trzecim kierowanie ruchu przez adres IP ofiary.
The hero.exe Komponent pobiera dane konfiguracyjne z rotujących domen dowodzenia i kontroli o tematyce „smshero”, a następnie ustanawia wychodzące połączenia proxy na niestandardowych portach, takich jak 1000 i 1002. Analiza ruchu pokazuje lekki protokół kodowany za pomocą funkcji XOR (klucz 0x70) używane do ukrywania komunikatów sterujących.
Infrastruktura ta jest zgodna ze znanymi usługami proxy dla użytkowników indywidualnych, w ramach których dostęp do rzeczywistych adresów IP konsumentów jest sprzedawany w celu oszustw, scrapingu, nadużyć reklamowych lub prania anonimowości.
Wspólne narzędzia dla wielu fałszywych instalatorów
Podszywanie się pod program 7‑Zip wydaje się być częścią szerszej operacji. Powiązane pliki binarne zostały zidentyfikowane pod nazwami takimi jak upHola.exe, upTiktok, upWhatsapp i upWire, wszystkie stosujące identyczne taktyki, techniki i procedury:
- Wdrożenie w SysWOW64
- Windows trwałość usługi
- Manipulowanie regułami zapory sieciowej za pomocą
netsh - Szyfrowany ruch HTTPS C2
Odwoływanie się do osadzonych ciągów znaków VPN a marki proxy sugerują ujednolicone zaplecze obsługujące wiele frontów dystrybucji.
Infrastruktura rotacyjna i szyfrowany transport
Analiza pamięci ujawniła dużą pulę zakodowanych na stałe domen dowodzenia i kontroli wykorzystujących hero oraz smshero konwencje nazewnictwa. Aktywna rozdzielczość podczas wykonywania piaskownicy wykazała ruch kierowany przez infrastrukturę Cloudflare z sesjami HTTPS szyfrowanymi protokołem TLS.
Złośliwe oprogramowanie wykorzystuje również protokół DNS-over-HTTPS za pośrednictwem serwera rozpoznającego Google, co ogranicza widoczność tradycyjnego monitorowania DNS i utrudnia wykrywanie w sieci.
Funkcje unikania wykrycia i przeciwdziałania analizie
Złośliwe oprogramowanie zawiera wiele warstw piaskownicy i mechanizmów unikania analizy:
- Wykrywanie maszyn wirtualnych VMware, VirtualBox, QEMU i Parallels
- Kontrole antydebugujące i ładowanie podejrzanych bibliotek DLL debuggera
- Rozwiązywanie API środowiska uruchomieniowego i kontrola PEB
- Wyliczanie procesów, sondowanie rejestru i kontrola środowiska
Obsługa kryptografii jest rozbudowana i obejmuje standardy AES, RC4, Camellia, Chaskey, kodowanie XOR oraz Base64, co sugeruje obsługę szyfrowanych konfiguracji i ochronę ruchu.
Wskazówki dotyczące obrony
Każdy system, który uruchomił instalatory z 7zip.com, należy uznać za zainfekowany. Chociaż to złośliwe oprogramowanie utrzymuje się na poziomie SYSTEMU i modyfikuje reguły zapory sieciowej, renomowane oprogramowanie zabezpieczające może skutecznie wykryć i usunąć złośliwe komponenty. Malwarebytes jest w stanie całkowicie wyeliminować znane warianty tego zagrożenia i odwrócić mechanizmy jego utrzymywania się. W systemach wysokiego ryzyka lub intensywnie użytkowanych niektórzy użytkownicy mogą nadal zdecydować się na pełną reinstalację systemu operacyjnego dla absolutnej pewności, ale nie jest to absolutnie konieczne we wszystkich przypadkach.
Użytkownicy i obrońcy powinni:
- Sprawdź źródła oprogramowania i dodaj oficjalne domeny projektu do zakładek.
- Podchodź sceptycznie do nieoczekiwanych tożsamości podpisujących kod
- Monitoruj pod kątem nieautoryzowanych Windows zmiany w usługach i regułach zapory sieciowej
- Blokuj znane domeny C2 i punkty końcowe proxy na obrzeżach sieci
Atrybucja badaczy i analiza społeczności
To dochodzenie nie byłoby możliwe bez pracy niezależnych badaczy zajmujących się bezpieczeństwem, którzy nie poprzestali na powierzchownych wskaźnikach i zidentyfikowali prawdziwy cel tej rodziny złośliwego oprogramowania.
- Luke Acha przedstawił pierwszą kompleksową analizę pokazującą, że złośliwe oprogramowanie Uphero/hero działa raczej jako proxyware dla użytkowników domowych niż tradycyjne oprogramowanie typu backdoor. W swojej pracy udokumentował protokół proxy, wzorce ruchu i model monetyzacji, a także powiązał tę kampanię z szerszą operacją, którą nazwał upStage Proxy. Pełna treść artykułu Luke'a jest dostępna na jego blogu.
- s1dhy rozszerzył tę analizę, odwracając i dekodując niestandardowy protokół komunikacyjny oparty na XOR, weryfikując zachowanie serwera proxy poprzez przechwytywanie pakietów i korelując wiele punktów końcowych proxy w różnych geolokalizacjach ofiar. Notatki techniczne i wnioski zostały udostępnione publicznie na Twitter ( X ) .
- Andrew Danis wniósł dodatkową analizę infrastruktury i klastrowanie, pomagając powiązać fałszywy instalator 7-Zip z powiązanymi kampaniami proxyware wykorzystującymi inne marki oprogramowania.
Dodatkowa walidacja techniczna i analiza dynamiczna zostały opublikowane przez naukowców z RaichuLab na Qiita oraz WizSafe Security na IIJ.
Ich wspólna praca podkreśla znaczenie otwartych, prowadzonych przez społeczność badań w ujawnianiu długotrwałych kampanii nadużyć, które opierają się na zaufaniu i wprowadzaniu w błąd, a nie na wykorzystywaniu luk w zabezpieczeniach.
Podsumowanie
Ta kampania pokazuje, jak skuteczne może być podszywanie się pod markę w połączeniu z zaawansowanym technicznie złośliwym oprogramowaniem, które może działać niezauważone przez długi czas. Wykorzystując zaufanie użytkowników zamiast luk w zabezpieczeniach oprogramowania, atakujący omijają wiele tradycyjnych zabezpieczeń, zamieniając codzienne pobieranie narzędzi w długotrwałą infrastrukturę służącą do generowania zysków.
Malwarebytes wykrywa i blokuje znane warianty tej rodziny proxyware i powiązaną z nią infrastrukturę.
Wskaźniki kompromisu (IOC)
Ścieżki plików
C:\Windows\SysWOW64\hero\Uphero.exeC:\Windows\SysWOW64\hero\hero.exeC:\Windows\SysWOW64\hero\hero.dll
Suma kontrolna pliku (SHA-256)
e7291095de78484039fdc82106d191bf41b7469811c4e31b4228227911d25027(Uphero.exe)b7a7013b951c3cea178ece3363e3dd06626b9b98ee27ebfd7c161d0bbcfbd894(hero.exe)3544ffefb2a38bf4faf6181aa4374f4c186d3c2a7b9b059244b65dce8d5688d9(hero.dll)
Wskaźniki sieciowe
Domeny:
soc.hero-sms[.]coneo.herosms[.]coflux.smshero[.]conova.smshero[.]aiapex.herosms[.]aispark.herosms[.]iozest.hero-sms[.]aiprime.herosms[.]vipvivid.smshero[.]vipmint.smshero[.]compulse.herosms[.]ccglide.smshero[.]ccsvc.ha-teams.office[.]comiplogger[.]org
Obserwowane adresy IP (z Cloudflare):
104.21.57.71172.67.160.241
Wskaźniki oparte na hoście
- Windows usługi ze ścieżkami obrazów wskazującymi na
C:\Windows\SysWOW64\hero\ - Reguły zapory sieciowej o nazwie Uphero lub hero (przychodzące i wychodzące)
- Mutex:
Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .
