 |
| imagem gerada por IA |
Uma investigação da Infoblox Threat Intel identificou uma operação de cibercrime muito mais ampla do que uma simples campanha de malware isolada. Batizado como Lurking Lizard, o agente de ameaças está por trás de mais de 230 domínios usados para infectar dispositivos, operar infraestrutura de proxy, se passar por provedores legítimos desse tipo de serviço e comercializar ofertas relacionadas — uma operação em atividade desde pelo menos agosto de 2022.
A descoberta começou com uma única campanha: no início de 2026, o Lurking Lizard enganou usuários ao distribuir uma versão falsa do utilitário de compressão 7-Zip, hospedada no domínio "7zip[.]com" em vez do site oficial "7-zip[.]org". Uma vez instalado, o dispositivo era registrado como um nó de proxy, disponível para aluguel a serviços de proxy residencial — permitindo que terceiros roteassem tráfego através do endereço IP da própria vítima, sem qualquer consentimento.
O que parecia ser uma campanha pontual se revelou apenas a ponta mais visível de um sistema muito maior. Ao correlacionar a infraestrutura por trás do falso 7-Zip, os pesquisadores da Infoblox identificaram que o mesmo agente vendia acesso por meio de domínios falsos que simulavam outros serviços comerciais de proxy conhecidos, incluindo IPIDEA, SmartProxy (atual Decodo), IP Royal e 911Proxy.
O Lurking Lizard parece ser um agente com origem na China, que atua em parceria com outros provedores para revender acesso à largura de banda obtida por meio de dispositivos comprometidos. Pesquisadores externos já haviam identificado sobreposição entre a infraestrutura conectada ao Lurking Lizard e a IPIDEA, grande provedora de proxies que foi alvo de uma interrupção coordenada entre a indústria e autoridades policiais no início deste ano.
Ainda assim, mesmo com a desarticulação de vários provedores de proxies ao longo do ano, a capacidade de agentes como o Lurking Lizard de continuar operando dispositivos de botnet demonstra o quanto ainda é difícil desmantelar por completo o mercado malicioso de proxies residenciais.
A operação funciona de forma integrada, controlando diferentes etapas de aquisição, divulgação e monetização em duas frentes distintas: primeiro, instaladores trojanizados, aplicativos móveis e outras iscas recrutam dispositivos das vítimas para um botnet de proxy controlado pelo agente; em seguida, esse conjunto de dispositivos é monetizado por meio de marcas que imitam serviços de proxy legítimos, enquanto sites falsos de avaliações "independentes" ajudam a direcionar tráfego para as lojas fraudulentas do próprio grupo.
Para criar novos nós de proxy, o grupo distribui malware por meio de domínios falsos que imitam grandes marcas de software, ampliando o alcance dessas iscas com técnicas de manipulação de resultados de busca e anúncios online — método também conhecido como "search poisoning".
Para a Dra. Renée Burton, vice-presidente de Infoblox Threat Intel, o caso revela algo mais profundo do que um instalador falso isolado. "O ponto central aqui não é apenas um instalador falso, mas o modelo de negócio por trás dele", afirma. "Quando serviços criminosos conseguem escalar ao se apoiar na confiança associada a softwares populares, lojas de aplicativos e sites de avaliação, o risco deixa de ser apenas uma preocupação das equipes de segurança. Ele passa a envolver operações, fraude e reputação de marca para qualquer empresa presente no ambiente online."
O caso reforça um padrão observado por outros pesquisadores de segurança: o malware por trás do falso 7-Zip é classificado tecnicamente como "proxyware", já que sua função principal não é abrir backdoors tradicionais, mas registrar o dispositivo infectado como nó de uma rede de proxy residencial disponível para aluguel.
Comentários
Postar um comentário