Lurking Lizard: مثبّتات 7-Zip مزيفة تحوّل الأجهزة إلى عقد بروكسي

مقدمة

كشفت شركة استخبارات التهديدات Infoblox عن فاعل تهديد أطلقت عليه اسم Lurking Lizard، يدير منذ سنوات عملية متكاملة لبناء وتشغيل شبكة بروكسي سكني إجرامية. آخر حلقات هذه العملية، ورصدتها Malwarebytes في وقت سابق من عام 2026، كانت موقعاً مقلّداً لأداة الضغط الشهيرة 7-Zip يوزّع مثبّتاً مزوّراً يُصيب الجهاز بأداة بروكسي خفية بدلاً من البرنامج الأصلي.

فكرة شبكة البروكسي السكني (Residential Proxy Network) بسيطة من الناحية التجارية لكنها خطيرة أمنياً: هي مجموعة من الأجهزة الحقيقية المنتشرة في منازل المستخدمين، تُستخدم عناوين IP الخاصة بها كنقاط خروج (Exit Nodes) يمرّر عبرها طرف ثالث حركة إنترنت لا علاقة لصاحب الجهاز بها. عناوين IP السكنية هذه مرغوبة تجارياً لأنها تبدو “طبيعية” أمام أنظمة الحماية، على عكس عناوين مراكز البيانات المعروفة والمحظورة غالباً. لهذا السبب تحوّلت إصابة الأجهزة العادية بعبارة “برمجية بروكسي” (Proxyware) إلى نموذج ربح قائم بذاته لدى بعض الفاعلين، بمعزل عن سرقة البيانات أو الفدية، وهو ما يجعله تهديداً يسهل التقليل من خطورته لأن أثره على الضحية غالباً غير مرئي.

خلفية عن Lurking Lizard

بحسب تحليل Infoblox، يعمل Lurking Lizard منذ أغسطس 2022 على الأقل، ولا يقتصر نشاطه على حملة توزيع واحدة، بل يدير منظومة كاملة تغطي كل مراحل “دورة حياة” شبكة البروكسي السكني: من تجنيد الأجهزة عبر البرمجيات الخبيثة، إلى تسويق وبيع الوصول إلى هذه الشبكة لاحقاً.

تشير تحليلات Infoblox إلى أن الفاعل صيني على الأرجح، استناداً إلى سجلات WHOIS التي تحمل صيغاً متكررة من الاسم “Cheng Li” وبيانات تواصل تُشير إلى مدينة ووهان الصينية، إضافة إلى بصمة البنية التحتية المشتركة بين النطاقات. هذا الاستنتاج مبني على تحليل بيانات تسجيل النطاقات والبنية التقنية، وليس على إقرار مباشر من الفاعل، لذا يُعرض كتقييم استخباراتي لا كحقيقة مؤكدة.

من أبرز سمات أسلوب عمل المجموعة اعتمادها على تقنية تُعرف بـ"اصطياد النطاقات المنتهية" (Drop-Catching): شراء نطاقات قديمة بعد انتهاء صلاحيتها للاستفادة من تاريخها وسمعتها الجيدة لدى محركات البحث وأنظمة الحماية، بدلاً من تسجيل نطاق جديد يلفت الانتباه بسهولة. وثّقت Infoblox سبعة نطاقات على الأقل استُحوذ عليها بهذه الطريقة، بعضها كان مسجّلاً منذ عام 2004. كما رصد الباحثون نقاط API متطابقة (مثل client_v1/config/http وclient_v1/version/server) عبر نطاقات متعددة، وهو ما يؤكد اعتماد جميع الحملات على بنية تحتية خلفية واحدة مشتركة.

آلية التوزيع والعدوى

يعتمد Lurking Lizard على أكثر من 230 نطاقاً مقلّداً (Lookalike/Typosquatted Domains) — أي نطاقات تُشبه أسماء علامات تجارية معروفة بفارق حرف أو امتداد، بهدف خداع من يبحث عن البرنامج الأصلي فيصل بالخطأ إلى نسخة مزيفة. من أبرز الحالات الموثّقة نطاق 7zip[.]com الذي يحاكي شكل موقع 7-Zip الرسمي (المتاح فعلياً فقط على 7-zip.org)، إضافة إلى نطاقات مقلّدة لواتساب، وأدوات تزعم أنها لتنزيل مقاطع من تيك توك ويوتيوب، وخدمة WireVPN، وحتى خدمة HeroSMS التي توفر أرقام هواتف افتراضية. يعزز الفاعل ظهور هذه النطاقات في نتائج البحث عبر تسميم نتائج محركات البحث (Search Poisoning) وإعلانات مدفوعة.

بحسب تحليل Malwarebytes لعينة مثبّت 7-Zip المزيف، فإن تنفيذ الملف يُسقط ثلاثة ملفات (Uphero.exe وhero.exe وhero.dll) في المسار C:\Windows\SysWOW64\hero، وينشئ خدمة ويندوز دائمة تعمل بصلاحيات SYSTEM لضمان استمرار عمل البرمجية بعد إعادة التشغيل. كما يعدّل قواعد جدار الحماية للسماح بمرور حركة البروكسي، ويجمع بيانات عن الجهاز والشبكة عبر واجهات ويندوز وWMI ويرسلها إلى نطاق خارجي.

للتواصل مع خوادم التحكم، يعتمد المكوّن hero.exe على نطاقات متغيّرة بنمط تسمية “smshero”، ويفتح اتصالات بروكسي صادرة عبر منافذ غير قياسية مثل 1000 و1002، باستخدام بروتوكول مبسّط مشفّر بعملية XOR بمفتاح 0x70 لإخفاء محتوى الاتصال. أما من ناحية التخفي، فقد كان المثبّت المزيف موقّعاً رقمياً (Authenticode) بشهادة صادرة باسم شركة تُدعى Jozeal Network Technology — وهي شهادة أُلغيت لاحقاً — ما سمح للملف مبدئياً بتجاوز تحذيرات Windows SmartScreen. كما يستخدم الفاعل تقنية DNS-over-HTTPS عبر مُحلّل جوجل، وفحصاً للكشف عن بيئات الأجهزة الافتراضية (VM Detection)، وتوجيه الاتصالات عبر Cloudflare لتصعيب رصد النشاط الخبيث. باحثو Infoblox عثروا أيضاً على رابط تتبّع IPLogger مضمّن في عدة عينات، ما سمح بربط حملة 7-Zip المزيفة بحملات سابقة استخدمت واجهة تنزيل مقاطع تيك توك ويوتيوب، وأخرى لاحقة حملت اسم WireVPN — دليل على أن كل هذه الحملات تصدر عن نفس الفاعل رغم اختلاف الواجهة الظاهرة.

على صعيد تحقيق الربح، يعمد الفاعل إلى تقليد أسماء مزوّدي بروكسي معروفين وشرعيين مثل IPIDEA وSmartProxy (المعروفة حالياً باسم Decodo) وIP Royal و911Proxy، ويشغّل مواقع مراجعات تدّعي الاستقلالية (مثل proxyreviews[.]org) بهدف توجيه الزوار نحو متاجره الخاصة، إلى جانب مواقع تنزيل عامة ومواقع “فحص عنوان IP” تخدم الغرض نفسه.

التأثير والمخاطر

الخطر الأول يقع على صاحب الجهاز المصاب نفسه: بمجرد تسجيل الجهاز كعقدة بروكسي، يصبح عنوان IP الخاص بالمنزل قناة يمرّر عبرها أشخاص مجهولون حركة إنترنت لا علاقة له بها، وهذا يستهلك جزءاً من نطاق الإنترنت المتاح ويبطئ الاتصال، خصوصاً على الاتصالات محدودة السرعة أو تلك التي تُحتسب بحسب حجم الاستخدام.

الأخطر من ذلك هو المسؤولية القانونية المحتملة: إذا استُخدم عنوان IP الخاص بالضحية من قِبل طرف ثالث لأغراض مسيئة — كمحاولة الوصول غير المصرّح به لحسابات أخرى، أو أتمتة عمليات احتيال، أو أي نشاط يخالف القانون — فإن أثر ذلك النشاط قد يُنسب ظاهرياً إلى عنوان الضحية، ما قد يعرّضها لتحقيقات أو حظر من خدمات تعتمد على سمعة عنوان IP.

كذلك، فإن جهاز الضحية أصبح فعلياً يشغّل خدمة دائمة بصلاحيات نظام مرتفعة، تتحكم بها جهة خارجية عن بُعد. هذا الوصول لا يقتصر بالضرورة على وظيفة البروكسي وحدها، إذ يفتح الباب نظرياً أمام تحديث الحمولة أو تثبيت برمجيات إضافية لاحقاً، طالما أن قناة التحكم لا تزال نشطة.

أما على المستوى الأوسع، فإن شبكات بروكسي من هذا النوع تُستخدم غالباً من قِبل أطراف أخرى — قد تكون معلنة رسمياً كخدمات “بروكسي سكني شرعي” — لإخفاء مصدر هجمات مثل حشو بيانات الاعتماد (Credential Stuffing) أو الاحتيال الإعلاني أو تجاوز أنظمة الحماية المعتمدة على سمعة عناوين IP، ما يجعل ضحايا هذه الحملة أداة غير واعية في هجمات تستهدف أطرافاً ثالثة بعيدة كل البعد عنهم.

التوصيات الدفاعية

• تنزيل البرامج من المصدر الرسمي فقط، والتأكد من كتابة رابط الموقع يدوياً أو من مصدر موثوق بدلاً من الاعتماد على أول نتيجة بحث تظهر، لأن حملات تسميم نتائج البحث قد تضع النطاق المزيف في مقدمة النتائج.
• التحقق من عنوان النطاق بدقة قبل التنزيل — الفارق بين نطاق رسمي مثل 7-zip.org ونطاق مقلّد مثل 7zip.com قد يكون حرفاً أو امتداداً واحداً فقط.
• مراجعة التوقيع الرقمي للملف التنفيذي بعد التنزيل والتأكد من أن جهة الإصدار مطابقة للشركة المالكة للبرنامج الفعلية، مع العلم أن وجود توقيع رقمي صالح وحده لا يعني بالضرورة أن الملف آمن.
• تجنّب مواقع “المراجعات المستقلة” لخدمات البروكسي والـVPN كمصدر وحيد لاتخاذ قرار الشراء أو التنزيل، والتحقق من مصداقيتها عبر مصادر متعددة.
• مراقبة الخدمات والعمليات غير المألوفة على الجهاز، خصوصاً أي خدمة تعمل بصلاحيات مرتفعة من مسار غير معتاد، أو اتصالات صادرة منتظمة على منافذ غير قياسية.
• الانتباه لأي تباطؤ غير مبرر في سرعة الإنترنت بعد تثبيت برنامج جديد، فقد يكون مؤشراً على استهلاك خفي للنطاق الترددي من طرف ثالث.
• استخدام حل حماية نقاط النهاية (Endpoint Protection) محدّث قادر على رصد سلوكيات إنشاء الخدمات الدائمة وتعديل قواعد جدار الحماية، لا الاعتماد على فحص التوقيعات وحده.

المصدر

المقال الأصلي: Fake 7-Zip Installers Turn Devices Into Residential Proxy Nodes