🛡️ Executive Summary
- Il gruppo Lurking Lizard distribuisce software trojanizzati e siti contraffatti per trasformare i dispositivi delle vittime in proxy residenziali.
- L’infrastruttura comprende oltre 230 domini, servizi proxy falsi, recensioni manipolate e applicazioni apparentemente legittime.
- I nodi compromessi vengono rivenduti come proxy commerciali e possono essere sfruttati per frodi, scraping e altre attività illecite.
Un articolato ecosistema di proxyware sta alimentando una delle più estese infrastrutture di proxy residenziali osservate negli ultimi anni. Il gruppo identificato come Lurking Lizard ha costruito una rete composta da centinaia di domini, installer trojanizzati, servizi proxy contraffatti e siti di recensioni falsificati con l’obiettivo di reclutare inconsapevolmente migliaia di dispositivi connessi a Internet. Le vittime, convinte di scaricare software affidabili come 7-Zip, client VPN o utility gratuite, finiscono invece per mettere a disposizione la propria connessione Internet come nodo di uscita di una rete commerciale utilizzata da soggetti terzi. L’operazione rappresenta un esempio particolarmente evoluto di monetizzazione della larghezza di banda compromessa, nella quale malware, tecniche di marketing e infrastrutture apparentemente legittime vengono integrate in un’unica catena operativa destinata alla vendita di servizi proxy.
Cosa leggere
Installer contraffatti trasformano i computer in proxy
Il principale vettore di infezione utilizzato da Lurking Lizard consiste nella distribuzione di installer modificati di software molto diffusi. Tra gli esempi documentati figura un falso programma di installazione di 7-Zip distribuito attraverso il dominio 7zip[.]com, progettato per imitare il sito ufficiale del noto software di compressione. Dopo l’esecuzione, il programma installa apparentemente l’applicazione richiesta, ma introduce anche un componente nascosto che trasforma il computer in un nodo della rete proxy controllata dall’attaccante.
Questo approccio consente di ridurre i sospetti dell’utente, che continua a utilizzare normalmente il software richiesto senza accorgersi dell’attività parallela svolta dal malware. Una volta compromesso, il sistema inoltra il traffico di clienti esterni, diventando un exit node attraverso il quale transitano connessioni dirette verso siti web e servizi online.
Siti di recensioni falsi rafforzano la credibilità dell’operazione
Per aumentare il numero di infezioni, il gruppo non si limita alla distribuzione del malware ma costruisce un articolato ecosistema di marketing fraudolento. Domini come proxyreviews[.]org simulano portali indipendenti dedicati alla valutazione dei servizi proxy, pubblicando recensioni apparentemente imparziali che indirizzano gli utenti verso piattaforme direttamente controllate dagli attaccanti. La strategia sfrutta tecniche tipiche della SEO fraudolenta e dell’affiliate marketing, aumentando la visibilità dei siti malevoli nei motori di ricerca e rafforzando la percezione di affidabilità delle offerte. Le recensioni vengono progettate per apparire autentiche, inducendo gli utenti a fidarsi di servizi che in realtà rappresentano l’infrastruttura commerciale costruita da Lurking Lizard per monetizzare i dispositivi compromessi.
Proxy e VPN contraffatti alimentano la rete
Parallelamente, l’operazione comprende anche la creazione di servizi che imitano provider di proxy e VPN già affermati sul mercato. Domini come smartproxy[.]org promettono l’accesso a milioni di indirizzi IP residenziali, sfruttando in parte infrastrutture condivise con operatori upstream come IPIDEA per ampliare artificialmente il numero di nodi disponibili.
Tra gli strumenti distribuiti figura anche WireVPN, un’applicazione Android che ha superato il milione di download e che presenta numerose recensioni positive, probabilmente generate o manipolate per migliorarne il posizionamento negli store digitali. Attraverso questa combinazione di applicazioni apparentemente legittime e servizi commerciali, gli operatori riescono a reclutare continuamente nuovi dispositivi e ad alimentare il proprio catalogo di proxy disponibili sul mercato.
Una rete costruita con oltre 230 domini
L’infrastruttura attribuita a Lurking Lizard comprende oltre 230 domini distribuiti su differenti registri e provider di hosting. Molti di questi sono stati acquisiti tramite tecniche di drop-catching, recuperando domini scaduti che avevano già costruito negli anni una reputazione positiva presso motori di ricerca e utenti. Le analisi delle informazioni WHOIS mostrano ricorrenze riconducibili al nominativo Cheng Li e a varianti dello stesso registrante, con recapiti collegati alla zona di Wuhan, in Cina. Le prime attività attribuite all’infrastruttura risalgono almeno al 2022, segno che il gruppo opera da diversi anni ampliando progressivamente il proprio ecosistema di domini, servizi e software distribuiti.
Persistenza, firme digitali e tecniche evasive
Una volta installato, il malware implementa diverse tecniche di persistenza per ridurre le probabilità di rimozione. Tra queste figurano modifiche al Registro di Windows, creazione di regole firewall tramite netsh e configurazioni progettate per garantire l’avvio automatico del componente proxy a ogni riaccensione del sistema. Alcuni dei payload osservati risultano inoltre firmati digitalmente, aumentando la fiducia dell’utente e riducendo la probabilità che vengano immediatamente identificati come software sospetti. Il comportamento del malware rimane volutamente discreto: il consumo di risorse viene mantenuto su livelli contenuti per evitare rallentamenti evidenti del computer che potrebbero indurre la vittima a disinstallare il programma o a investigare sulle attività in corso.
Un business costruito sulla larghezza di banda delle vittime
A differenza di molte campagne malware tradizionali, l’obiettivo principale di Lurking Lizard non consiste nel furto diretto di dati o nell’installazione di ransomware, ma nella costruzione di una piattaforma commerciale di proxy residenziali.
Ogni dispositivo compromesso diventa una risorsa monetizzabile che può essere affittata a soggetti terzi interessati a eseguire attività di web scraping, aggirare limitazioni geografiche, automatizzare campagne pubblicitarie fraudolente o condurre altre operazioni che richiedono indirizzi IP apparentemente legittimi. L’utilizzo combinato di nodi compromessi e provider upstream rende inoltre più complessa l’attribuzione del traffico e aumenta la resilienza dell’intera infrastruttura.
Come ridurre il rischio di compromissione
La campagna conferma ancora una volta quanto sia importante verificare sempre la provenienza dei software scaricati da Internet. Gli utenti dovrebbero ottenere programmi come 7-Zip esclusivamente dai siti ufficiali, evitando domini che imitano marchi noti o compaiono soltanto attraverso annunci pubblicitari sponsorizzati. Per le organizzazioni, il monitoraggio delle richieste DNS, l’adozione di piattaforme di threat intelligence e il blocco preventivo dei domini associati a Lurking Lizard rappresentano strumenti efficaci per interrompere la catena di infezione prima che il malware venga installato. Anche il controllo periodico delle connessioni di rete in uscita e dei processi persistenti può aiutare a individuare tempestivamente sistemi trasformati inconsapevolmente in nodi proxy. La sofisticazione dell’operazione dimostra come il mercato dei proxy residenziali illeciti stia evolvendo verso modelli sempre più strutturati, nei quali distribuzione del malware, promozione commerciale e monetizzazione costituiscono parti di un’unica infrastruttura criminale.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
