Um site muito parecido com o popular arquivador 7-Zip tem servido um instalador com trojan que silenciosamente transforma as máquinas das vítimas em nós proxy residenciais — e tem estado escondido à vista de todos há algum tempo.
Estou com o estômago embrulhado.
Recentemente, um fabricante de PCs recorreu em pânico à comunidade r/pcmasterrace do Reddit depois de se aperceber que tinha descarregado o 7-Zip do site errado. Após uma breve discussão, descobriu que tinha descarregado o programa de forma inadequada. YouTube No tutorial para uma nova compilação, foram instruídos para descarregar o 7-Zip de 7zip[.]com, sem saber que o projeto legítimo está alojado exclusivamente em 7-zip.org.
Na sua publicação no Reddit, o utilizador descreveu a instalação do ficheiro primeiro num portátil e, posteriormente, a transferência via USB para um computador desktop recém-montado. Encontrou repetidos erros de compatibilidade entre 32 e 64 bits e, por fim, abandonou o instalador em favor de... Windows ' ferramentas de extracção integradas. Quase duas semanas depois, o Microsoft Defender alertou o sistema com uma detecção genérica: Trojan:Win32/Malgent!MSR.
A experiência ilustra como uma confusão aparentemente menor de domínios pode resultar no uso não autorizado e prolongado de um sistema quando os invasores conseguem se passar por distribuidores de software confiáveis.
Um instalador trojanizado que se faz passar por software legítimo
Este não é um caso simples de um download malicioso hospedado num site aleatório. Os operadores por trás do 7zip[.]com distribuíram um instalador com trojan através de um domínio semelhante, entregando uma cópia funcional do 7‑Zip File Manager juntamente com uma carga útil de malware oculta.
O instalador é assinado com Authenticode usando um certificado agora revogado emitido para a Jozeal Network Technology Co., Limited, conferindo-lhe uma legitimidade superficial. Durante a instalação, uma versão modificada do 7zfm.exe é implementado e funciona conforme o esperado, reduzindo a desconfiança do utilizador. Paralelamente, três componentes adicionais são silenciosamente descartados:
- Uphero.exe— um gestor de serviços e carregador de atualizações
- hero.exe— a carga útil principal do proxy (compilada em Go)
- hero.dll— uma biblioteca de suporte
Todos os componentes são gravados em C:\Windows\SysWOW64\hero\, um diretório privilegiado que provavelmente não será inspecionado manualmente.
Um canal de atualização independente também foi observado em update.7zip[.]com/version/win-service/1.0.0.2/Uphero.exe.zip, indicando que a carga útil do malware pode ser atualizada independentemente do próprio instalador.
Abuso de canais de distribuição confiáveis
Um dos aspectos mais preocupantes desta campanha é a sua dependência da confiança de terceiros. O caso do Reddit realça isso mesmo. YouTube tutoriais como um vetor de distribuição inadvertida de malware, em que os criadores fazem referência incorretamente ao 7zip.com em vez do domínio legítimo.
Isso mostra como os invasores podem explorar pequenos erros em ecossistemas de conteúdo aparentemente benignos para direcionar as vítimas para infraestruturas maliciosas em grande escala.
Fluxo de execução: do instalador ao serviço de proxy persistente
A análise comportamental mostra uma cadeia de infecção rápida e metódica:
1. Implementação de ficheiros— A carga útil é instalada no SysWOW64, exigindo privilégios elevados e sinalizando a intenção de integração profunda no sistema.
2. Persistência via Windows serviços—Ambos Uphero.exe e hero.exe estão registados como inicialização automática Windows Serviços executados com privilégios de sistema, garantindo a execução em cada arranque.
3. Manipulação de regras de firewall—O malware invoca netsh para remover as regras existentes e criar novas regras de permissão de entrada e saída para os seus binários. O objetivo é reduzir a interferência no tráfego de rede e permitir atualizações contínuas da carga útil.
4. Criação de perfis de host — Utilizando WMI e nativo Windows Através de APIs, o malware enumera características do sistema, incluindo identificadores de hardware, tamanho da memória, número de CPUs , atributos do disco e configuração de rede. O malware comunica com o iplogger[.]org através de um endpoint de relatório dedicado, sugerindo que recolhe e reporta metadados de dispositivos ou redes como parte da sua infraestrutura de proxy.
Objetivo funcional: monetização de proxy residencial
Embora os indicadores iniciais sugerissem capacidades do tipo backdoor, uma análise mais aprofundada revelou que a principal função do malware é proxyware. O host infetado é registado como um nó proxy residencial, permitindo que terceiros encaminhem o tráfego através do endereço IP da vítima.
O hero.exe O componente recupera dados de configuração de domínios de comando e controlo rotativos com o tema «smshero» e, em seguida, estabelece ligações proxy de saída em portas não padrão, como 1000 e 1002. A análise do tráfego mostra um protocolo leve codificado com XOR (chave 0x70) usado para ocultar mensagens de controlo.
Essa infraestrutura é consistente com os serviços de proxy residenciais conhecidos, nos quais o acesso a endereços IP reais de consumidores é vendido para fins de fraude, scraping, abuso de anúncios ou lavagem de anonimato.
Ferramentas partilhadas entre vários instaladores falsos
A falsificação do 7‑Zip parece fazer parte de uma operação mais ampla. Binários relacionados foram identificados sob nomes como upHola.exe, upTiktok, upWhatsapp e upWire, todos partilhando táticas, técnicas e procedimentos idênticos:
- Implantação no SysWOW64
- Windows persistência do serviço
- Manipulação de regras de firewall através de
netsh - Tráfego C2 HTTPS encriptado
Cadeias incorporadas que fazem referência a VPN e as marcas proxy sugerem um backend unificado que suporta múltiplas frentes de distribuição.
Infraestrutura rotativa e transporte encriptado
A análise da memória revelou um grande conjunto de domínios de comando e controlo codificados usando hero e smshero Convenções de nomenclatura. A resolução ativa durante a execução da sandbox mostrou tráfego encaminhado através da infraestrutura Cloudflare com sessões HTTPS encriptadas por TLS.
O malware também usa DNS sobre HTTPS através do resolvedor do Google, reduzindo a visibilidade para o monitoramento tradicional de DNS e complicando a detecção baseada na rede.
Recursos de evasão e anti-análise
O malware incorpora várias camadas de sandbox e evasão de análise:
- Detecção de máquinas virtuais direcionada para VMware, VirtualBox, QEMU e Parallels
- Verificações anti-depuração e carregamento suspeito de DLLs do depurador
- Resolução da API em tempo de execução e inspeção do PEB
- Enumeração de processos, sondagem do registo e inspeção do ambiente
O suporte criptográfico é abrangente, incluindo AES, RC4, Camellia, Chaskey, codificação XOR e Base64, sugerindo o tratamento de configurações encriptadas e proteção de tráfego.
Orientação defensiva
Qualquer sistema que tenha executado instaladores do 7zip.com deve ser considerado comprometido. Embora este malware estabeleça persistência ao nível do SISTEMA e modifique as regras da firewall, o software de segurança fiável pode detetar e remover os componentes maliciosos com eficácia. Malwarebytes É capaz de erradicar completamente as variantes conhecidas desta ameaça e reverter os seus mecanismos de persistência. Em sistemas de alto risco ou com utilização intensa, alguns utilizadores podem ainda optar por reinstalar o sistema operativo completamente para garantir total segurança, mas tal não é estritamente necessário em todos os casos.
Os utilizadores e defensores devem:
- Verifique as fontes de software e marque os domínios oficiais do projeto
- Trate identidades de assinatura de código inesperadas com ceticismo
- Monitorize para detetar atividades não autorizadas. Windows alterações nos serviços e nas regras da firewall
- Bloqueie domínios C2 conhecidos e pontos finais proxy no perímetro da rede
Atribuição de pesquisadores e análise da comunidade
Esta investigação não teria sido possível sem o trabalho de investigadores de segurança independentes que foram além dos indicadores superficiais e identificaram o verdadeiro objetivo desta família de malware.
- Luke Acha forneceu a primeira análise abrangente mostrando que o malware Uphero/hero funciona como um proxyware residencial, em vez de um backdoor tradicional. O seu trabalho documentou o protocolo proxy, os padrões de tráfego e o modelo de monetização, e relacionou essa campanha a uma operação mais ampla que ele chamou de upStage Proxy. O artigo completo de Luke está disponível no seu blog.
- s1dhy expandiu esta análise ao realizar engenharia reversa e descodificar o protocolo de comunicação personalizado baseado em XOR, validando o comportamento do proxy através de capturas de pacotes e correlacionando múltiplos endpoints de proxy em diferentes geolocalizações das vítimas. As notas técnicas e as descobertas foram partilhadas publicamente no X ( Twitter ) .
- Andrew Danis contribuiu com análises adicionais de infraestrutura e agrupamento, ajudando a ligar o instalador falso do 7-Zip a campanhas relacionadas com proxyware que abusavam de outras marcas de software.
Validação técnica adicional e análise dinâmica foram publicadas por pesquisadores do RaichuLab no Qiita e pela WizSafe Security no IIJ.
O trabalho coletivo deles destaca a importância da investigação aberta e orientada para a comunidade na descoberta de campanhas de abuso de longa duração que se baseiam na confiança e na desorientação, em vez de explorações.
Considerações finais
Esta campanha demonstra como a falsificação eficaz de marcas, combinada com malware tecnicamente competente, pode operar sem ser detetada por longos períodos. Ao abusar da confiança dos utilizadores, em vez de explorar vulnerabilidades de software, os atacantes contornam muitas premissas tradicionais de segurança, transformando downloads de utilitários comuns em infraestruturas de monetização duradouras.
Malwarebytes Deteta e bloqueia variantes conhecidas desta família de proxyware e da sua infraestrutura associada.
Indicadores de compromisso (IOCs)
Caminhos dos ficheiros
C:\Windows\SysWOW64\hero\Uphero.exeC:\Windows\SysWOW64\hero\hero.exeC:\Windows\SysWOW64\hero\hero.dll
Hashes de ficheiros (SHA-256)
e7291095de78484039fdc82106d191bf41b7469811c4e31b4228227911d25027(Uphero.exe)b7a7013b951c3cea178ece3363e3dd06626b9b98ee27ebfd7c161d0bbcfbd894(hero.exe)3544ffefb2a38bf4faf6181aa4374f4c186d3c2a7b9b059244b65dce8d5688d9(hero.dll)
Indicadores de rede
Domínios:
soc.hero-sms[.]coneo.herosms[.]coflux.smshero[.]conova.smshero[.]aiapex.herosms[.]aispark.herosms[.]iozest.hero-sms[.]aiprime.herosms[.]vipvivid.smshero[.]vipmint.smshero[.]compulse.herosms[.]ccglide.smshero[.]ccsvc.ha-teams.office[.]comiplogger[.]org
IPs observados (Cloudflare-fronted):
104.21.57.71172.67.160.241
Indicadores baseados no anfitrião
- Windows serviços com caminhos de imagem a apontar para
C:\Windows\SysWOW64\hero\ - Regras de firewall denominadas Uphero ou hero (entrada e saída)
- Mutex:
Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .
