【安全圈】7zip.com 并非官方：钓鱼站分发恶意程序

关键词

网络钓鱼

安全研究人员近期发现，顶级域名 7zip.com 被用于伪装成 7-Zip 官方网站分发恶意软件。需要强调的是，7-Zip 唯一官方域名为 https://7-zip.org/ ，并不存在所谓的“7zip.com”官方站点。

该域名早在 1999 年就已注册，但近期被用于投毒传播。目前尚不清楚攻击者是直接收购域名，还是通过其他方式获得控制权。

高仿页面诱导下载

该钓鱼网站几乎完整复制了 7-Zip 官方页面的界面设计，普通用户在未仔细核对域名的情况下，很容易误判为正规站点，直接下载安装所谓的“最新版”。

一旦运行下载的可执行文件，系统便会被植入恶意组件，包括：

• UpHero.exe：服务管理与加载程序

• hero.exe：核心代理载荷

• hero.dll：辅助库文件

相关文件被释放至：

C:\Windows\SysWOW64\hero\


随后程序会创建以SYSTEM 权限运行的自启动 Windows 服务，实现开机自动加载，确保长期驻留。

修改防火墙并收集系统信息

恶意程序通过netsh命令修改防火墙规则，开放入站与出站连接权限，为后续通信铺路。

接着利用 WMI 与 Windows API 进行环境探测，收集内容包括：

• CPU 与内存信息

• 磁盘与硬件特征

• 网络配置与环境特征

相关数据被上传至 iplogger.org 服务器。

从攻击链来看，这是一个典型的“下载—驻留—持久化—外联”完整闭环。

真正目的：住宅代理池

这类恶意程序并不直接执行勒索或窃密，而是将受感染主机转化为“住宅代理节点”。

简单来说，攻击者可以通过受害者真实 IP 转发流量，用于：

• 绕过地域限制

• 规避风控系统

• 执行灰黑产活动

• 构建匿名代理网络

由于行为表面上只是“网络转发”，并非明显破坏性操作，因此常规杀软早期可能不易识别。

不过随着安全厂商披露，主流安全软件已更新病毒库，对相关文件和域名进行拦截。

不止 7-Zip

研究人员发现，攻击者并不只针对 7-Zip。类似手法还被用于伪装：

• TikTok

• WhatsApp

• 其他高知名度软件

策略很简单：利用“热门软件 + 高仿官网 + 真实顶级域名”提高转化率，快速扩大感染规模，构建可变现的 IP 资源池。

目前该恶意域名已被社区加入拦截规则，例如 uBlock Origin 的恶意域名列表已覆盖该站点。

安全建议

对于个人用户：

• 仅从官方域名下载软件

• 下载前核对 HTTPS 证书与域名拼写

• 定期检查系统服务与异常外联行为

对于企业环境：

• 启用 DNS 过滤与威胁情报订阅

• 审计新增 Windows 服务

• 监控异常 WMI 调用与 netsh 操作

• 建立出站流量行为基线

这起事件再次说明一个现实问题：攻击者不一定需要 0day，只要掌握一个“足够像”的域名，就能完成大规模感染。

在供应链安全与软件分发链条中，域名本身已成为攻击面的一部分。

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！