BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben einen Angriffsketten-Ansatz, bei dem trojanisierte Desktop-Installer und mobile App-Lockmittel Geräte in ein Proxy-Botnetz ziehen. Der Täterbetrieb läuft über hunderte lookalike Domains und nutzt ein mehrstufiges Lebenszyklusmodell von Akquise über Proxy-Infrastruktur bis zur Monetarisierung. Besonders kritisch: Google hat im Januar Teile einer beteiligten Proxy-Infrastruktur bereits heruntergefahren, und die aktuellen Verbindungen deuten auf Infrastruktur-Reselling hin. Für Unternehmen und Nutzer steigt damit das Risiko von Fehlklassifizierungen, Sperrungen und kompromittierten Netzpfaden.
Die jüngste Analyse zu einem Bedrohungsakteur namens Lurking Lizard zeigt, wie schnell aus einer vermeintlich harmlosen Download-Umleitung ein dauerhaftes Geschäftsmodell werden kann. Im Zentrum steht ein end-to-end Konzept: Erst werden Opfer über trojanisierte Installationspfade und lookalike Domains angelockt, anschließend fungieren die kompromittierten Endgeräte als Proxy-Knoten, und am Ende werden die Zugänge über gefälschte Proxy-Marken sowie traffic-treibende Seiten monetarisiert. Laut DNS- und Threat-Intelligence-Erhebungen von Infoblox läuft diese Infrastruktur bereits seit mindestens August 2022, mit klaren Aktivitäten in mehreren Wellen.
Technisch greifen die Angreifer dabei nicht nur auf klassischen Malware-Delivery-Mechanismen zurück, sondern orchestrieren eine ganze Infrastruktur-Landschaft. Ein früherer Fall im Jahr betraf einen trojanisierten 7-Zip-Installer, der auf einer Domain namens 7zip[.]com gehostet war und gezielt als legitime Softwarequelle wahrgenommen werden sollte. Ein wesentliches Detail ist zudem Drop-Catching: Wenn Domains auslaufen, übernehmen die Angreifer sie, um die über Jahre angesammelte Historie und Reputation zu erben. Hinzu kommt Social Engineering über falsch geschriebene Referenzen, etwa 7zip[.]com statt 7-zip[.]org, wodurch Browser- und Nutzerverhalten ausgenutzt wird.
Beim Blick auf die Infrastruktur wird die Vernetzung noch deutlicher. Die Ermittler verweisen darauf, dass Teile von IPIDEA im Januar durch Google in einer Operation stark eingeschränkt bzw. Dismantled wurden. Parallel fanden nachfolgende Proxyway-Untersuchungen über 773.087 eindeutige IP-Adressen, die mit SmartProxy verbunden waren, auch in einem öffentlich auffindbaren IP-Dataset zu IPIDEA auftauchten, das insgesamt 16.192.293 einzigartige IPs enthält. Das lässt sich als Hinweis interpretieren, dass SmartProxy entweder Infrastruktur direkt weiterveräußert oder IP-Datensätze zumindest teilweise als signifikante Quelle wiederverwendet – ein Muster, das für Verteidiger die Zuordnung und Sperrlogik erschwert.
Der Angriff arbeitet außerdem mit Branding- und Distributions-Umwegen, die über reine Desktop-Installer hinausgehen. Die Analyse nennt eine Infrastruktur, die über ein Embedded-IPLogger-URL-Element (iplogger[.]com/mnWD) mit mehreren Fake-Installer-Kampagnen verbunden sein soll, darunter Varianten zu 7-Zip, WhatsApp, scheinbaren TikTok- und YouTube-Downloader-Tools sowie WireVPN. Die WireVPN-Schiene steht als neueste Ausbaustufe für eine Multi-Platform-Strategie: Ziel sind Nutzer auf Android, macOS und Windows. Bei Android wurde eine App namens wirevpn – Fast Unlimited Proxy identifiziert, die über eine britische Firma veröffentlicht wurde und laut Angaben mehr als eine Million Downloads verzeichnet.
Für den Markt ist daran besonders relevant, wie stark hier an die Erfahrungen aus anderen Betrugsökosystemen angeknüpft wird. Infoblox stellt die Verbindung zu malvertising-ähnlichen Mechanismen in Affiliate-Werbesystemen her: Nicht eine einzelne Kampagne dominiert, sondern mehrere Stufen des Proxy-Lifecycles werden über Jahre hinweg betrieben. Konkret ergibt sich eine koordinierte Kette aus Akquise (Trojan-Installer, mobile Apps, Tutorial- oder Such-getriebene Discovery), Proxy-Infrastruktur (Botnetze als Exit-Knoten) und Vermarktung (lookalike Marken, Fake-Review-Seiten). Das wirkt wie ein professionelles Resale- und Traffic-Handling-Setup, nur dass die „Lieferkette“ aus kompromittierten Geräten besteht.
Auch regulatorisch und für die IT-Sicherheit verschärft das die Lage. Google hatte kurz zuvor NetNut (Popa) als Residential-Proxy-Netzwerk deutlich degradiert, das mindestens zwei Millionen Geräte – etwa Smart-TVs und Streaming-Boxen – als Proxy-Conduits missbrauchte, teils über vorinstallierte oder in Apps versteckte Proxy-Funktionen aus einem infizierten SDK-Umfeld. Solche Szenarien erzeugen ein zweifaches Risiko: Erstens können Home-IP-Adressen Angreifer-Aktionen ermöglichen, inklusive weiterer unautorisierter Aktivitäten. Zweitens kann legitimer Traffic der Betroffenen in Sicherheits- und Provider-Systemen als verdächtig erscheinen, was zu Sperrungen oder fehlerhaften Flags führt. Für Unternehmen bedeutet das: Neben Endpoint-Schutz braucht es deutlich strengere Validierung von Download-Quellen, Monitoring von Proxy-ähnlichem Ausrollen und eine klare Incident-Response-Logik für „false positives“.
Wie geht es weiter? Für Verteidiger ist die wichtigste Lehre die Zeitachse: Lifecycle-Management statt Einmalangriff. Wenn Drop-Catching und wiederverwendete Infrastruktur-Assets über mehrere Kampagnen hinweg genutzt werden, wird die Detektion weniger von einzelnen Hashes abhängen und mehr von Konsistenzsignalen wie Domain-Clusterung, DNS-Verhaltensmustern und Infrastruktur-Fingerprints. Gleichzeitig entsteht für die Branche eine Chance: Proxy-Datenanbieter, Browser- und DNS-Sicherheitsanbieter sowie Unternehmen können ihre Reputation- und Sperrmodelle so ausbauen, dass lookalike Domain-Setups und Resale-Überlappungen früher erkannt werden. Kurzfristig bleibt aber die Herausforderung bestehen, dass das „Proxy-Problem“ im Endgerät selbst entsteht – und damit nicht nur in Logfiles, sondern in der tatsächlichen Vertrauensstellung von Installationswegen endet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lurking Lizard missbraucht Fake-7-Zip-Installer für Residential-Proxy-Botnetze" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lurking Lizard missbraucht Fake-7-Zip-Installer für Residential-Proxy-Botnetze" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lurking Lizard missbraucht Fake-7-Zip-Installer für Residential-Proxy-Botnetze« bei Google Deutschland suchen, bei Bing oder Google News!