Trình cài đặt 7-Zip giả mạo biến thiết bị thành nút proxy dân cư
"Security researchers reported that the threat actor Lurking Lizard has run a long-lived residential proxy operation using more than 230 lookalike domains and trojanized installers, including a fake 7-Zip download that recruited compromised devices as proxy nodes. The campaign spans Windows, macOS, Android, and other lures, with no CVE involved; mitigation centers on avoiding lookalike domains and malicious installers, while infrastructure takedowns and domain abuse disruption are the primary response."
Rủi ro cao do biến thiết bị nạn nhân thành proxy node và có thể hỗ trợ các hoạt động trái phép trên Internet. Điểm then chốt: hơn 230 tên miền lookalike, trình cài đặt trojan hóa 7-Zip, và khả năng tái sử dụng hạ tầng để phân phối nhiều biến thể lừa đảo.
Có thể gây gián đoạn vận hành và tăng chi phí xử lý sự cố nếu thiết bị trong doanh nghiệp bị nhiễm. Điểm cần lưu ý: thiết bị bị tuyển làm proxy có thể làm tăng cảnh báo/khóa luồng mạng, lây lan qua nhiều nền tảng (Windows/macOS/Android) làm mở rộng phạm vi kiểm soát, và hạ tầng tên miền giả khiến việc lọc theo danh sách tĩnh kém hiệu quả.
Các nhà nghiên cứu an ninh mạng cho biết nhóm đe doạ Lurking Lizard đã vận hành một mô hình residential proxy độc hại theo chuỗi đầy đủ, dựa trên hạ tầng gồm hơn 230 tên miền giống hệt. Hoạt động được ghi nhận từ ít nhất tháng 8/2022. Một chiến dịch trước đó đã lừa nạn nhân tải trình cài đặt 7-Zip bị trojan hóa từ miền “7zip[.]com”, âm thầm tuyển thiết bị bị xâm nhập làm proxy node.
Nhóm này còn mạo danh nhiều nhà cung cấp proxy, đồng thời sử dụng các trang “đánh giá độc lập” giả để đẩy lưu lượng về cửa hàng lừa đảo. Phân tích từ Proxyway cho thấy dữ liệu IP công khai liên quan đến SmartProxy có sự trùng lặp lớn với tập dữ liệu IP của IPIDEA, gợi ý khả năng tái bán hoặc dùng lại hạ tầng. Kỹ thuật drop-catching được dùng để giành lại tên miền khi hết hạn nhằm tận dụng lịch sử và độ tin cậy.
Trong mẫu liên quan chiến dịch 7-Zip, URL iplogger[.]com/mnWD cho thấy cùng một hạ tầng có thể phân phối nhiều bộ cài giả cho 7-Zip, WhatsApp, các công cụ giả mạo TikTok/YouTube downloader và WireVPN. Ở mảng di động, một ứng dụng Android “wirevpn - Fast Unlimited Proxy” ghi nhận hơn 1 triệu lượt tải.
Khuyến nghị: rà soát và chặn tên miền lookalike, hạn chế cài đặt từ nguồn không tin cậy, tăng giám sát lưu lượng/đầu ra bất thường từ thiết bị người dùng, và ưu tiên quy trình gỡ bỏ phần mềm độc hại kèm kiểm tra dấu hiệu proxy botnet.