Una nuova campagna di malware sta sfruttando falsi installer di 7 Zip per trasformare i dispositivi domestici in nodi di proxy residenziali, cioe punti di uscita che instradano traffico di terze parti usando gli indirizzi IP delle vittime. La minaccia e collegata a un attore denominato Lurking Lizard, che avrebbe costruito un ecosistema completo per acquisire dispositivi compromessi, gestire l infrastruttura e monetizzare l accesso alla rete proxy tramite siti e servizi esca.
Il metodo piu efficace osservato e l uso di domini molto simili a quelli legittimi. Un esempio e un sito che imita la pagina di download di 7 Zip, inducendo gli utenti a scaricare un installer trojanizzato. Una volta eseguito, il software non si limita a installare un programma indesiderato, ma arruola in modo silenzioso il computer come proxy node. Questo consente ai criminali di vendere accesso a una rete di IP residenziali, spesso ricercati per attivita fraudolente perche appaiono come traffico normale proveniente da case reali.
Lurking Lizard avrebbe inoltre imitato brand noti nel settore dei proxy, creando vetrine di vendita e persino falsi siti di recensioni indipendenti per aumentare la credibilita e intercettare ricerche su Google. Tra le tecniche piu insidiose compare il drop catching, cioe l acquisto di domini scaduti per ereditarne reputazione e storico, rendendo piu difficile distinguere una truffa da una risorsa affidabile.
L infrastruttura collegata alla campagna non si limita a 7 Zip. Sono stati individuati collegamenti con falsi installer e strumenti che promettono download da TikTok e YouTube, oltre a contenuti che sfruttano il marchio WireVPN. La distribuzione sembra essere multi piattaforma, con varianti e canali che puntano a utenti Windows, macOS e Android. In alcuni casi, app mobile con branding simile a servizi VPN hanno raggiunto volumi di download elevati, ma non e sempre chiaro quanto siano installazioni reali o spinte da tecniche di acquisizione aggressive.
Il rischio principale per le vittime e che il proprio IP domestico venga usato come base per attacchi, frodi o accessi non autorizzati, con possibili blocchi da parte di servizi online e provider, oltre a problemi di reputazione digitale.