Descoberta e escopo da operação
Uma operação criminosa de longa duração, identificada como Lurking Lizard, foi descoberta utilizando instaladores falsos do popular software de compressão 7-Zip para transformar dispositivos de vítimas em nós de proxy pagos. A campanha, que começou a ser notada no início de 2026, mas remonta a pelo menos agosto de 2022, revela uma rede coordenada construída em torno de dezenas de marcas de software falsas. A Infoblox, que identificou o grupo, destaca a escala da descoberta, com mais de 230 domínios conectados ao mesmo ator.
O ataque explora a confiança dos usuários em ferramentas de software amplamente utilizadas. Ao hospedar instaladores falsos em domínios que imitam o oficial, os atacantes conseguem distribuir malware que opera silenciosamente em segundo plano. O objetivo não é apenas roubar dados, mas alugar a largura de banda da vítima para serviços de proxy, gerando receita para os criminosos sem o conhecimento do usuário.
Vetor de ataque e evolução da campanha
A técnica principal utilizada é o drop-catching, onde um domínio expirado é comprado especificamente para herdar sua antiga reputação nos mecanismos de busca. No caso do 7-Zip, o domínio 7zip[.]com foi referenciado erroneamente em fóruns online por anos, dando credibilidade acidental antes da aquisição pelos atacantes. Essa estratégia permite que o malware seja encontrado organicamente por usuários que buscam o software legítimo.
A campanha evoluiu de instaladores falsos do 7-Zip para outras iscas, incluindo ferramentas de download falsas do TikTok e YouTube, e mais recentemente, um aplicativo de VPN falso chamado WireVPN. O WireVPN, disponível nas lojas de aplicativos Apple e Google, relatou mais de um milhão de downloads no Android. Testes mostram que o aplicativo não protege a privacidade do usuário, mas age como um ponto de saída para o tráfego de terceiros.
Impacto operacional e riscos de rede
O comprometimento de dispositivos por esse malware cria riscos significativos para a segurança da rede corporativa. Dispositivos infectados podem ser usados para lançar ataques a partir de endereços IP legítimos, dificultando o rastreamento. Além disso, o tráfego de rede pode ser desviado para servidores controlados pelos atacantes, expondo dados sensíveis em trânsito.
Para organizações, o risco inclui a possibilidade de seus próprios dispositivos serem recrutados para a rede de proxies, o que pode levar a problemas de conformidade e responsabilidade legal se o tráfego for usado para atividades ilegais. A presença de malware persistente também pode servir como porta de entrada para ataques mais sofisticados, como ransomware ou espionagem corporativa.
Recomendações para CISOs e equipes de SOC
Equipes de segurança devem monitorar ativamente por domínios e arquivos associados a esta campanha. A análise de tráfego de rede para identificar conexões incomuns a servidores de proxy ou comportamentos de ping anômalos pode ajudar na detecção precoce. A verificação de integridade de arquivos e a restrição de instalação de software não autorizado são medidas preventivas essenciais.
A conscientização dos usuários sobre a importância de baixar software apenas de fontes oficiais é crucial. A implementação de soluções de endpoint que detectam comportamentos suspeitos, como conexões de saída não autorizadas ou uso incomum de recursos de rede, pode mitigar o impacto desse tipo de ameaça. A colaboração com provedores de inteligência de ameaças para obter IOCs atualizados também é recomendada.
Indicadores de comprometimento (IOCs)
Os IOCs identificados incluem domínios como 7zip[.]com, smartproxy[.]org, ipidea[.]org e wirevpn[.]app. Arquivos maliciosos como hero.exe, uphero.exe, wire.exe e upwire.exe foram associados à campanha. A presença de links de rastreamento IPLogger codificados no malware também serve como indicador de comprometimento.
A análise forense deve focar na busca por esses arquivos e domínios em logs de rede e endpoints. A reavaliação de políticas de segurança de e-mail e web para bloquear domínios suspeitos pode prevenir a infecção inicial. A atualização de assinaturas de antivírus e a aplicação de patches de segurança são medidas básicas, mas necessárias, para proteger contra essa e outras ameaças.