[业内新闻动态] [【转载】] 恶意 7-Zip 网站分发掺杂了代理工具的安装程序

结论

该攻击通过仿冒7-Zip官网诱导用户下载木马化安装包，落地后通过服务注入、防火墙绕过、C2通信及硬件信息回传实现住宅代理网络节点化。核心攻击链为：域名仿冒（入口）→恶意安装包（载体）→持久化服务（Sink点）→C2通信（数据输出）。

分析路径

L1 攻击面识别（Source定位）

1. 域名仿冒：7zip[.]com与合法站点7-zip.org高度相似，需检查HTTP重定向链与SSL证书指纹；
2. 分发渠道：YouTube教程嵌入恶意链接，需溯源视频评论区/来源IP关联性；
3. 感染载体：安装包利用合法证书签名（已吊销），需分析签名时间戳与证书吊销列表（CRL）。

L2 假设与验证（Sink影响范围）

1. 恶意组件行为验证：
   • Uphero.exe管理服务与更新逻辑；
   • hero.exe与C2（smshero主题域名）的HTTPS通信；
   • hero.dll通过WMI/API获取硬件信息（Sink：敏感数据外泄）。
2. 持久化机制验证：
   • 服务注册路径C:\Windows\SysWOW64\hero\；
   • netsh修改防火墙规则（入站/出站端口1000-1002）；
   • 通过WMI事件触发服务自启。

L3 边界/异常场景（绕过防御的条件）

1. 虚拟环境检测逻辑：
   • 检测VMware/VirtualBox/QEMU等虚拟化工具（动态分析规避）；
   • 调试器检测（反调试代码注入）。
2. C2隐蔽性：
   • Cloudflare代理+DNS-over-HTTPS（降低DNS流量监控可见性）；
   • XOR加密通信（需逆向协议密钥）。

L4 防御反推与修复（Sink点阻断）

1. 横向防御：
   • 将合法域名（如7-zip.org）加入浏览器HSTS白名单；
   • 阻断iplogger[.]org及smshero主题域名的HTTPS流量；
   • 禁用非标准端口（如1000/1002）的出站连接。
2. 终端防御：
   • 监控SysWOW64\hero\目录及关联服务；
   • 检测netsh advfirewall命令异常调用；
   • 终端安全软件拦截已知恶意哈希值（需补充样本SHA256）。

验证步骤

1. 文件行为分析：
   • 用procmon监控安装过程，捕获写入SysWOW64\hero\的所有文件；
   • 通过strings hero.exe搜索C2域名（如smshero[.]xxx）及iplogger[.]org。
2. 网络流量检测：
   • 用Wireshark抓包，过滤TLS握手流量，检查SNI字段是否包含smshero；
   • 检查netsh show advfirewall firewall输出，定位异常端口规则。
3. 虚拟化检测逻辑逆向：
   • 使用IDA/Ghidra反编译hero.dll，定位VM检测API调用（如IsWow64Process）。

修复建议

应急清除：

# 删除恶意服务及文件  
sc stop hero_service  
sc delete hero_service  
Remove-Item -Path "C:\Windows\SysWOW64\hero\*" -Recurse  

# 恢复防火墙规则  
netsh advfirewall reset  

长期防御：

1. 部署域名监控：
   • 监控7zip.com的SSL证书签发记录及子域名变更；
   • 使用OpenDNS或本地DNS过滤拦截smshero前缀域名。
2. 证书验证加固：
   • 在终端部署签名证书白名单，拦截吊销证书（如Jozeal Network的证书）；
   • 对下载的安装包强制检查PE文件时间戳与CRL状态。
3. 行为基线防御：
   • 建立netsh命令黑白名单，仅允许管理员执行防火墙修改操作；
   • 监控非交互进程（如hero.exe）的DNS-over-HTTPS请求异常。

注：若需进一步逆向C2协议，需获取样本中XOR密钥（通常与域名或时间相关），或使用动态调试工具（如x64dbg）跟踪通信逻辑。