Убедительная копия популярного сайта архиватора 7-Zip распространяет троянский установщик, который незаметно превращает компьютеры жертв в прокси-серверы для домашнего использования — и уже некоторое время скрывается у всех на виду.
«Мне так плохо»
Недавно один сборщик ПК в панике обратился к сообществу r/pcmasterrace на Reddit, поняв, что скачал 7-Zip с неправильного сайта. После этого он... YouTube В ходе инструктажа по сборке новой версии им было предложено загрузить 7-Zip с сайта 7zip[.]com, не зная, что легитимный проект размещен исключительно на сайте 7-zip.org.
В своем посте на Reddit пользователь описал, как сначала установил файл на ноутбук, а затем перенес его через USB на недавно собранный настольный компьютер. Он столкнулся с повторяющимися ошибками, связанными с 32-битной и 64-битной версиями, и в итоге отказался от установщика в пользу другого варианта. Windows «Встроенные инструменты извлечения». Спустя почти две недели Microsoft Defender выдал предупреждение о системе с общим сообщением об обнаружении: Trojan:Win32/Malgent!MSR.
Этот случай показывает, как, казалось бы, незначительная путаница с доменами может привести к длительному несанкционированному использованию системы, когда злоумышленники успешно маскируются под надежных дистрибьюторов программного обеспечения.
Троянский установщик, маскирующийся под легальное программное обеспечение
Это не просто случай вредоносной загрузки с случайного сайта. Операторы, стоящие за 7zip[.]com, распространяли троянский установщик через похожий домен, доставляя функциональную копию файлового менеджера 7‑Zip вместе со скрытым вредоносным ПО.
Установщик подписан Authenticode с использованием отмененного сертификата, выданного Jozeal Network Technology Co., Limited, что придает ему внешнюю легитимность. Во время установки модифицированная сборка 7zfm.exe развернут и функционирует как ожидалось, снижая подозрения пользователей. Параллельно с этим три дополнительных компонента незаметно удаляются:
- Uphero.exe— диспетчер служб и загрузчик обновлений
- hero.exe— основная полезная нагрузка прокси (скомпилированная на Go)
- hero.dll— вспомогательная библиотека
Все компоненты записываются в C:\Windows\SysWOW64\hero\, привилегированный каталог, который вряд ли будет проверяться вручную.
Независимый канал обновления также наблюдался в update.7zip[.]com/version/win-service/1.0.0.2/Uphero.exe.zip, что указывает на то, что полезную нагрузку вредоносного ПО можно обновлять независимо от самого установщика.
Злоупотребление доверенными каналами распространения
Один из наиболее тревожных аспектов этой кампании — её зависимость от доверия к третьим лицам. Дело Reddit это наглядно демонстрирует. YouTube Использование обучающих материалов в качестве непреднамеренного вектора распространения вредоносного ПО происходит, когда создатели ошибочно указывают 7zip.com вместо легитимного домена.
Это показывает, как злоумышленники могут использовать небольшие ошибки в иначе безобидных экосистемах контента, чтобы в больших масштабах направлять жертв к вредоносной инфраструктуре.
Последовательность выполнения: от установщика до постоянного прокси-сервиса
Анализ поведения показывает быструю и методичную цепочку заражения:
1. Развертывание файлов— полезные данные устанавливаются в SysWOW64, что требует повышенных привилегий и сигнализирует о намерении глубокой системной интеграции.
2. Сохранение посредством Windows услуги—Оба Uphero.exe и hero.exe зарегистрированы как автозапуск Windows Службы, работающие с системными привилегиями, обеспечивают их выполнение при каждой загрузке.
3. Манипулирование правилами брандмауэра—Вредоносная программа вызывает netsh удалить существующие правила и создать новые правила разрешения входящего и исходящего трафика для его бинарных файлов. Это сделано для уменьшения помех сетевому трафику и обеспечения бесперебойного обновления полезных данных.
4. Профилирование хоста — с использованием WMI и собственных настроек. Windows С помощью API вредоносная программа перечисляет характеристики системы, включая идентификаторы оборудования, размер памяти, количество процессоров , атрибуты диска и конфигурацию сети. Вредоносная программа взаимодействует с iplogger[.]org через выделенную точку доступа для отправки отчетов, что указывает на то, что она собирает и передает метаданные устройств или сети в рамках своей прокси-инфраструктуры.
Функциональная цель: монетизация прокси-серверов для жилых помещений
Хотя первоначальные показатели указывали на наличие функций типа «бэкдор», дальнейший анализ показал, что основной функцией вредоносного ПО является прокси-программа. Зараженный хост регистрируется в качестве прокси-узла, что позволяет третьим лицам направлять трафик через IP-адрес жертвы.
Сайт hero.exe Компонент извлекает данные конфигурации из вращающихся командных и контрольных доменов с темой «smshero», а затем устанавливает исходящие прокси-соединения на нестандартных портах, таких как 1000 и 1002. Анализ трафика показывает легкий протокол с кодировкой XOR (ключ 0x70) используется для сокрытия контрольных сообщений.
Эта инфраструктура соответствует известным прокси-сервисам для частных лиц, где доступ к реальным IP-адресам потребителей продается для мошенничества, сбора данных, злоупотребления рекламой или отмывания анонимности.
Общий инструментарий для нескольких поддельных установщиков
Похоже, что подделка 7‑Zip является частью более широкой операции. Связанные бинарные файлы были обнаружены под такими именами, как upHola.exe, upTiktok, upWhatsapp и upWire, все использующие одинаковые тактики, методы и процедуры:
- Развертывание в SysWOW64
- Windows сохранение сервиса
- Манипулирование правилами брандмауэра через
netsh - Зашифрованный трафик HTTPS C2
Встроенные строки, содержащие ссылки VPN А бренды-посредники предполагают единую внутреннюю систему, поддерживающую несколько каналов распространения.
Вращающаяся инфраструктура и зашифрованная передача данных
Анализ памяти выявил большой пул жестко запрограммированных доменов управления и контроля, использующих hero и smshero правила именования. Активное разрешение во время выполнения в песочнице показало, что трафик маршрутизировался через инфраструктуру Cloudflare с TLS-зашифрованными HTTPS-сессиями.
Вредоносное ПО также использует DNS-over-HTTPS через резолвер Google, что снижает видимость для традиционного мониторинга DNS и затрудняет обнаружение на основе сети.
Функции уклонения и противодействия анализу
Вредоносное ПО включает в себя несколько уровней песочницы и средств обхода анализа:
- Обнаружение виртуальных машин VMware, VirtualBox, QEMU и Parallels
- Проверки на наличие отладочных программ и подозрительная загрузка DLL-библиотек отладчика
- Разрешение API во время выполнения и проверка PEB
- Перечисление процессов, проверка реестра и проверка среды
Широкая поддержка криптографии, включая AES, RC4, Camellia, Chaskey, кодирование XOR и Base64, что предполагает обработку зашифрованных конфигураций и защиту трафика.
Оборонительная ориентация
Любая система, в которой были запущены установщики с сайта 7zip.com, должна считаться скомпрометированной. Хотя это вредоносное ПО обеспечивает постоянное присутствие на системном уровне и изменяет правила брандмауэра, авторитетное программное обеспечение для обеспечения безопасности может эффективно обнаруживать и удалять вредоносные компоненты. Malwarebytes Эта система способна полностью искоренить известные варианты этой угрозы и обратить вспять механизмы её закрепления. В системах с высоким риском или интенсивной эксплуатацией некоторые пользователи могут всё же предпочесть полную переустановку ОС для абсолютной уверенности, но это не является строго обязательным во всех случаях.
Пользователи и защитники должны:
- Проверьте источники программного обеспечения и добавьте в закладки официальные домены проектов
- Скептически относитесь к неожиданным идентификаторам подписи кода
- Отслеживание несанкционированного доступа Windows изменения в службах и правилах брандмауэра
- Блокировка известных доменов C2 и прокси-конечных точек на периметре сети
Атрибуция исследователей и анализ сообщества
Это расследование было бы невозможно без работы независимых исследователей в области безопасности, которые не ограничились поверхностными показателями и выявили истинную цель этого семейства вредоносных программ.
- Люк Ача представил первый комплексный анализ, показывающий, что вредоносное ПО Uphero/hero функционирует как прокси-программа для домашнего использования, а не как традиционная бэкдор-программа. В своей работе он описал протокол прокси, схемы трафика и модель монетизации, а также связал эту кампанию с более широкой операцией, которую он назвал upStage Proxy. Полный текст статьи Люка доступен в его блоге.
- s1dhy расширил этот анализ, проведя обратное преобразование и декодирование пользовательского протокола связи на основе XOR, проверив поведение прокси-сервера с помощью перехвата пакетов и сопоставив несколько конечных точек прокси-сервера в зависимости от географического местоположения жертвы. Технические заметки и результаты были опубликованы в открытом доступе на X ( Twitter ) .
- Эндрю Данис (Andrew Danis) внес дополнительный вклад в анализ инфраструктуры и кластеризацию, помогая связать поддельный установщик 7-Zip с связанными кампаниями по распространению прокси-программ, злоупотребляющими другими брендами программного обеспечения.
Дополнительная техническая проверка и динамический анализ были опубликованы исследователями из RaichuLab на Qiita и WizSafe Security на IIJ.
Их совместная работа подчеркивает важность открытых, ориентированных на сообщество исследований для выявления длительных кампаний злоупотреблений, которые опираются на доверие и введение в заблуждение, а не на уязвимости.
Заключительные мысли
Эта кампания демонстрирует, насколько эффективно подделка бренда в сочетании с технически грамотным вредоносным ПО может действовать незаметно в течение длительного времени. Злоупотребляя доверием пользователей, а не эксплуатируя уязвимости программного обеспечения, злоумышленники обходят многие традиционные меры безопасности, превращая повседневные загрузки утилит в долговечную инфраструктуру монетизации.
Malwarebytes Обнаруживает и блокирует известные варианты этого семейства прокси-программ и связанной с ним инфраструктуры.
Индикаторы компромисса (ИКС)
Пути к файлам
C:\Windows\SysWOW64\hero\Uphero.exeC:\Windows\SysWOW64\hero\hero.exeC:\Windows\SysWOW64\hero\hero.dll
Хэши файлов (SHA-256)
e7291095de78484039fdc82106d191bf41b7469811c4e31b4228227911d25027(Uphero.exe)b7a7013b951c3cea178ece3363e3dd06626b9b98ee27ebfd7c161d0bbcfbd894(hero.exe)3544ffefb2a38bf4faf6181aa4374f4c186d3c2a7b9b059244b65dce8d5688d9(hero.dll)
Сетевые индикаторы
Домены:
soc.hero-sms[.]coneo.herosms[.]coflux.smshero[.]conova.smshero[.]aiapex.herosms[.]aispark.herosms[.]iozest.hero-sms[.]aiprime.herosms[.]vipvivid.smshero[.]vipmint.smshero[.]compulse.herosms[.]ccglide.smshero[.]ccsvc.ha-teams.office[.]comiplogger[.]org
Наблюдаемые IP-адреса (Cloudflare-fronted):
104.21.57.71172.67.160.241
Индикаторы на основе хоста
- Windows сервисы с путями к изображениям, указывающими на
C:\Windows\SysWOW64\hero\ - Правила брандмауэра с именами Uphero или hero (входящие и исходящие)
- Мьютекс:
Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7
От сообщения об угрозах до их устранения.
Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .
