Поддельные установщики 7-Zip превращают устройства в прокси-серверы для домашних сайтов.

[zender]

Исследователи в области кибербезопасности раскрыли подробности о новом злоумышленнике, получившем название Lurking Lizard , который занимается распространением вредоносных резидентных прокси-серверов, используя инфраструктуру, включающую более 230 похожих доменов.

Согласно данным компании Infoblox, занимающейся анализом угроз DNS, эта активность восходит как минимум к августу 2022 года. Одна из таких кампаний, зафиксированная ранее в этом году, заключалась в том, что злоумышленник заманивал жертв с помощью троянизированного установщика 7-Zip, размещенного на домене "7zip[.]com", и тайно использовал скомпрометированные устройства в качестве прокси-узлов.

Известно также, что Lurking Lizard выдает себя за крупных поставщиков прокси-серверов, включая IPIDEA , SmartProxy (теперь Decodo), IP Royal и 911Proxy, не говоря уже о том, что они доходят до создания поддельных «независимых» сайтов с отзывами, чтобы привлечь трафик на свои собственные мошеннические сайты. Интересно, что инфраструктура IPIDEA была демонтирована Google в ходе операции в начале января этого года.

Последующие исследования Proxyway выявили , что 773 087 уникальных IP-адресов, связанных со SmartProxy, также присутствовали в общедоступном наборе данных IP-адресов IPIDEA, содержащем 16 192 293 уникальных IP-адреса, что указывает на то, что SmartProxy либо «перепродает инфраструктуру IPIDEA напрямую, либо использует ее в качестве значительного источника IP-адресов».

Анализ WHOIS и идентификация инфраструктуры позволяют предположить, что Lurking Lizard — это китайская компания, которая также использует популярные VPN-сервисы и такие сервисы, как HeroSMS, в качестве приманок для распространения вредоносного ПО через прокси-серверы.


Один из примечательных аспектов методов работы противника заключается в захвате доменов после истечения срока их действия с целью унаследовать их накопленную историю и легитимность — техника, известная как «перехват дропа». В некоторых случаях злоумышленник использует предполагаемую легитимность неправильно указанных доменных имен (например, «7zip[.]com» вместо «7-zip[.]org»), чтобы использовать их в своих интересах.


Дальнейший анализ URL-адреса IPLogger ("iplogger[.]com/mnWD"), встроенного в образцы, связанные с кампанией 7-Zip, выявил, что одна и та же базовая инфраструктура использовалась для распространения поддельных установщиков 7-Zip, WhatsApp, инструментов, ложно заявляющих о том, что они являются загрузчиками TikTok и YouTube, а также WireVPN.


Использование брендинга WireVPN представляет собой последнюю ступень развития кампании, использующей многосторонний подход для охвата пользователей на разных операционных системах, включая Android, macOS и Windows. Одно из таких приложений для Android, называемое « wirevpn - Fast Unlimited Proxy » и разработанное британской компанией WEILAI NETWORK TECHNOLOGY CO., LIMITED , собрало более 1 миллиона загрузок, хотя неясно, являются ли эти загрузки органическими.




«В первоначальной кампании 7-Zip жертвы переходили к вредоносным установщикам через обучающие материалы, поисковые системы и похожие домены», — заявили в Infoblox. «Неясно, используются ли аналогичные методы для привлечения пользователей к текущим версиям для настольных компьютеров, но мобильные приложения могут служить дополнительным каналом привлечения».


Также неясно, присутствует ли та же функциональность прокси — то есть, выходной узел, направляющий трафик третьих лиц через устройства жертв — в мобильных приложениях, и ограничивается ли она только настольными приложениями. В любом случае, они рисуют картину, по всей видимости, незаконного бизнеса по использованию прокси, который подпитывает скоординированную экосистему, охватывающую привлечение жертв, инфраструктуру прокси, маркетинг и монетизацию.

В результате получается комплексная операция, проходящая через два отдельных этапа:

• Введенные в систему трояны установщики, мобильные приложения и другие вредоносные программы вовлекают устройства жертв в контролируемый злоумышленниками прокси-ботнет.
• Затем средства из этого пула монетизируются через похожие бренды прокси-сервисов, а поддельные сайты с отзывами помогают привлекать трафик в магазины актеров.

«Нас поражают параллели между недавно выявленной преступной деятельностью в сфере резидентных прокси-серверов и вредоносной рекламой, которая поражает партнерскую программу», — заявили в Infoblox. «Очевидная история: ваш телевизор может быть частью гигантской ботнет-сети, проводящей атаки по всему интернету. Но реальная ситуация гораздо сложнее, и решения пока не найдены».


«Вместо того чтобы запускать одну кампанию по распространению вредоносного ПО, Lurking Lizard управляет несколькими этапами жизненного цикла резидентных прокси-серверов в течение нескольких лет, от приобретения устройств жертв до маркетинга и продажи доступа к полученной сети».


Это произошло спустя несколько дней после того, как Google объявила о значительном ухудшении работы сети резидентных прокси-серверов NetNut (также известной как Popa), которая превратила по меньшей мере 2 миллиона устройств, таких как смарт-телевизоры и стриминговые приставки, в каналы для несанкционированного сетевого трафика через SDK, содержащие вредоносное ПО, которые либо предустановлены перед покупкой, либо используются в приложениях со скрытым прокси-кодом.


«Это создает серьезные риски для ничего не подозревающих владельцев устройств, поскольку их домашние IP-адреса могут быть использованы злоумышленниками в качестве плацдарма для взлома и других несанкционированных действий», — заявили в Google. «В результате легитимный трафик пользователей может быть помечен как подозрительный или заблокирован их поставщиками услуг».

Источник