Un faux téléchargement de 7-Zip a conduit Infoblox vers un réseau mondial de proxies résidentiels. Plus de 230 domaines relieraient logiciels piégés, faux services et avis manipulés.
A partir d’un faux site d’installateur 7-Zip, Infoblox a mis au jour une vaste opération attribuée au groupe Lurking Lizard. Pour bâtir son réseau de proxies résidentiels, l’acteur s’appuyait sur plus de 230 domaines piégés allant de la copie de logiciels aux faux sites de comparatifs.
Un faux téléchargement transformait les appareils en relais
Le piège reposait sur une adresse identique au site officiel de 7-Zip. Les internautes récupéraient un programme qui conservait quelques fonctions crédibles. Puis, le logiciel ajoutait leur appareil à un réseau de relais. La bande passante pouvait ensuite être louée à des clients de services proxy, sans accord clair du propriétaire.
Loin de se limiter à 7-Zip, cette opération fait partie d’un réseau d’attaques repéré par Infoblox dès août 2022. Les mêmes traces techniques apparaissent dans de faux outils de téléchargement vidéo, des copies de VPN et plusieurs domaines génériques. Un lien IPLogger intégré aux fichiers a permis de rapprocher des opérations jusque-là présentées comme séparées.
Lurking Lizard contrôlait toute la chaîne commerciale
Les recherches décrivent une organisation structurée. Lurking Lizard aurait recruté des appareils compromis, vendu leur accès et créé ses propres vitrines commerciales. Certains domaines imitaient IPIDEA, SmartProxy, IP Royal ou 911Proxy. D’autres prenaient l’apparence de sites indépendants chargés de comparer les offres et de publier de faux avis favorables.
Pour Renée Burton, vice-présidente d’Infoblox Threat Intel, l’affaire dépasse largement le faux logiciel repéré au départ. Selon elle, le point central reste le modèle économique installé derrière cette campagne. La confiance accordée aux logiciels connus, aux boutiques d’applications et aux avis devient ici un outil de fraude. Les entreprises s’exposent alors à des risques de sécurité, de fraude et d’atteinte à leur réputation.
WireVPN prolonge une opération active depuis plusieurs années
L’enquête associe désormais cette infrastructure à WireVPN. Les versions Windows étudiées reprennent plusieurs méthodes déjà visibles dans la campagne 7-Zip. Elles utilisent des fichiers proches, des modifications du registre et des règles pare-feu similaires. Plusieurs connexions visent aussi des domaines contrôlés par le même groupe. Le trafic observé ressemble moins à celui d’un VPN classique qu’à celui d’un nœud proxy distribué.
Les applications mobiles liées à WireVPN affichent aussi une forte visibilité publique. La version Android revendiquait plus d’un million de téléchargements et plus de 34 000 avis lors de l’étude. Infoblox précise toutefois ne pas avoir analysé leur fonctionnement interne. Si plusieurs infrastructures similaires ont été démantelées récemment, Lurking Lizard montre que ces réseaux de revente restent particulièrement résilients.
Article basé sur un communiqué de presse reçu par la rédaction.
