Una campaña engañosa dirigida a usuarios desprevenidos ha surgido, utilizando una versión falsa del ampliamente utilizado software de compresión de archivos 7-Zip para convertir silenciosamente computadoras domésticas en nodos proxy residenciales. La operación maliciosa se basa en un dominio similar, 7zip[.]com, que imita de cerca el sitio web legítimo 7-zip.org, engañando a los usuarios para que descarguen un instalador comprometido que parece completamente funcional. 

Ha surgido una campaña engañosa que apunta a usuarios desprevenidos, utilizando una versión falsa del ampliamente usado software de compresión de archivos 7-Zip para convertir silenciosamente ordenadores domésticos en nodos proxy residenciales.

La operación maliciosa se basa en un dominio que imita al real, 7zip[.]com, que se asemeja mucho al sitio legítimo 7-zip.org, engañando a los usuarios para que descarguen un instalador comprometido que parece funcionar con normalidad mientras oculta componentes peligrosos de malware.

La amenaza salió a la luz después de que un usuario de Reddit compartiera su preocupante experiencia en la comunidad r/pcmasterrace.

Mientras seguía un tutorial de YouTube para montar un nuevo PC, le indicaron que descargara 7-Zip desde el dominio fraudulento.

Tras instalar el software tanto en un portátil como en un escritorio recién ensamblado mediante transferencia por USB, el usuario encontró errores de compatibilidad persistentes, pero continuó usando el sistema.

Pasaron casi dos semanas antes de que Microsoft Defender detectara la infección con una alerta genérica de troyano, revelando el compromiso oculto.

Los analistas de Malwarebytes identificaron que el instalador falso entrega una copia completamente funcional de 7-Zip File Manager junto con tres componentes maliciosos ocultos: Uphero.exe, hero.exe y hero.dll.

Estos archivos se instalan en el directorio privilegiado C:\Windows\SysWOW64\hero\, una ubicación que rara vez inspeccionan los usuarios habituales.

El instalador en sí lleva una firma Authenticode emitida a Jozeal Network Technology Co., Limited, aunque el certificado ya ha sido revocado.

Esta firma digital proporcionó inicialmente una falsa sensación de legitimidad, ayudando al malware a evadir sospechas inmediatas durante la instalación.

Una vez desplegado, el malware establece una persistencia profunda al registrar tanto Uphero.exe como hero.exe como servicios de Windows que se inician automáticamente con privilegios de SYSTEM en cada arranque.

Manipula las reglas del firewall mediante comandos netsh, eliminando protecciones existentes y creando nuevas excepciones de entrada y salida para garantizar una comunicación de red ininterrumpida.

El malware también realiza un perfilado exhaustivo del equipo, recopilando identificadores de hardware, especificaciones de memoria, detalles de la CPU, atributos del disco y configuraciones de red, que luego son enviados a servidores externos como iplogger[.]org.

Mecanismo de infección e infraestructura de proxy residencial

La funcionalidad principal de este malware gira en torno a convertir las máquinas infectadas en nodos dentro de una red proxy residencial.

El componente hero.exe recupera instrucciones de configuración desde servidores de comando y control rotativos que utilizan nombres de dominio con temática "smshero", como soc.hero-sms[.]co, neo.herosms[.]co, flux.smshero[.]co y nova.smshero[.]ai.

Estos dominios suelen estar respaldados por la infraestructura de Cloudflare y se comunican a través de canales HTTPS cifrados, lo que dificulta considerablemente su detección.

El análisis del tráfico realizado por investigadores de seguridad reveló que el malware utiliza un protocolo ligero codificado con XOR (clave 0x70) para ofuscar los mensajes de control.

Establece conexiones proxy salientes en puertos no estándar como 1000 y 1002, permitiendo que terceros redirijan tráfico de internet a través de la dirección IP de la víctima.

Esta infraestructura es característica de los servicios de proxy residencial, donde el acceso a direcciones IP de consumidores reales se monetiza para actividades como fraude, scraping web, abuso de publicidad y lavado de anonimato.

El malware también emplea DNS-over-HTTPS a través del resolvedor de Google, reduciendo aún más la visibilidad para las herramientas tradicionales de monitorización de red.

Los usuarios que hayan descargado instaladores desde 7zip[.]com deben tratar sus sistemas como comprometidos. Software de seguridad como Malwarebytes puede detectar y eliminar variantes conocidas de esta amenaza.

Sin embargo, en escenarios de alto riesgo, algunos usuarios pueden optar por una reinstalación completa del sistema operativo para garantizar su eliminación absoluta.

Para protegerte contra este tipo de ataques, debes verificar las fuentes de software guardando en marcadores los dominios oficiales de los proyectos, tratar con escepticismo las identidades de firmas digitales inesperadas y monitorizar tu sistema en busca de servicios de Windows no autorizados o modificaciones en el firewall.

Los administradores de red deben bloquear los dominios de comando y control conocidos y los puntos finales de proxy en el perímetro de la red para evitar la comunicación con infraestructuras maliciosas.