Les chercheurs d’Infoblox Threat Intel dévoilent dans un rapport publié aujourd’hui qu’un faux installeur du logiciel d’archivage 7-Zip a permis à un acteur malveillant, de recruter des appareils dans un réseau de plus de 230 domaines dédiés à la revente d’accès proxy. Tribune.
Comment un faux logiciel 7-Zip a révélé une activité criminelle de proxy bien plus vaste
Le leurre reposait sur le domaine 7zip[.]com, qui imite le site officiel 7-zip[.]org et transforme l’appareil infecté en nœud de proxy résidentiel. Les chercheurs rattachent cette activité à une opération plus ancienne, active depuis août 2022 au moins, et l’ont reliée à l’acteur via plusieurs recoupements : un même contact WHOIS, « Cheng Li », décliné sous plusieurs variantes sur des dizaines de domaines apparentés, un indicatif téléphonique associé à Wuhan, et le rachat après expiration d’au moins sept domaines à l’historique ancien, dont 7zip[.]com lui-même, enregistré dès 2004.
Une adresse de traçage du service IPLogger, intégrée au code des échantillons, relie cette campagne à d’autres opérations du même acteur, dont de faux téléchargeurs vidéo et, plus récemment, l’application WireVPN, qui reprend une structure quasi identique à celle du faux 7-Zip.
Disponible sur Windows, macOS, l’App Store et Google Play, elle revendique plus de 1 million de téléchargements, un chiffre non vérifié de façon indépendante par Infoblox. Les analyses de trafic du client montrent un comportement s’apparentant à un nœud de sortie pour trafic tiers plutôt qu’à un outil de confidentialité classique.
L’acteur imite par ailleurs des fournisseurs de proxies établis, dont IPIDEA, SmartProxy, IP Royal et 911Proxy : le domaine smartproxy[.]org, qui promet un accès à 100 millions d’adresses IP résidentielles, lui appartient en réalité, avec un recoupement d’environ 2 millions d’adresses IPv4 constaté en avril avec le réseau d’IPIDEA, fournisseur chinois visé début 2026 par une action en justice de Google.
Infoblox rapproche ce montage du fonctionnement de la publicité en ligne frauduleuse, où des programmes d’affiliation rémunèrent l’installation de logiciels compromettant des appareils, un modèle que des acteurs plus modestes reproduisent en combinant parc d’appareils compromis et fournisseur amont.
Lurking Lizard semble être un acteur chinois qui collabore avec d’autres fournisseurs de proxy afin de revendre l’accès à de la bande passante issue de proxies résidentiels . Des chercheurs externes avaient déjà identifié des chevauchements entre des infrastructures liées à Lurking Lizard et IPIDEA, un important fournisseur de proxy qui a été démantelé plus tôt cette année lors d’une action coordonnée entre l’industrie et les forces de l’ordre.
Malgré plusieurs opérations de démantèlement de fournisseurs de proxy cette année, la capacité d’acteurs malveillants comme Lurking Lizard à continuer d’exploiter ces dispositifs montre à quel point il reste difficile d’éradiquer le marché des proxies résidentiels malveillants.
L’opération criminelle et contrôle plusieurs étapes allant de l’acquisition à la promotion jusqu’à la monétisation : une vértiable intégration verticale. Elle crée de nouveaux nœuds proxy en diffusant des malwares via des domaines imitant de grandes marques logicielles, puis renforce leur visibilité grâce à des techniques de manipulation des résultats de recherche et à de la publicité en ligne (SEO). Une campagne de ce type, usurpant l’identité de 7-Zip, a attiré l’attention plus tôt cette année, mais elle ne représentait qu’une partie visible d’un système bien plus vaste. Infoblox Threat Intel a également découvert que l’acteur vendait des accès via des domaines imitant d’autres services commerciaux de proxy. En reliant ces différents domaines, les chercheurs ont pu cartographier l’ampleur globale de l’activité.
Dr Renée Burton, vice-présidente d’Infoblox Threat Intel, a déclaré :
« Ce qui compte ici, ce n’est pas un faux logiciel isolé, mais le modèle économique qui le sous-tend. » Elle ajoute : « Lorsque des services criminels se développent en exploitant la confiance accordée aux logiciels grand public, aux app store et aux avis, le risque dépasse le cadre des équipes de sécurité. Il devient un enjeu opérationnel, de fraude et d’image pour toutes les entreprises connectées à Internet. »
