偽7-ZipでPCをプロキシ化、脅威アクター「Lurking Lizard」の不正エコシステム

要点

• 中国拠点とみられる「Lurking Lizard」が、230以上の偽ドメインで違法なプロキシビジネスを展開している。
• 類似ドメイン「7zip[.]com」でのトロイの木馬化インストーラー配布により、デバイスが密かにプロキシノード化された。
• 期限切れドメインを再取得する「ドロップキャッチ」や、偽レビューサイトでの誘導など巧妙な手口を使用する。
• Windows、macOSに加え、100万ダウンロードを記録したAndroidアプリ「WireVPN」を介したマルチプラットフォーム展開も確認。
• デバイスのボットネット化から、偽ブランドでのプロキシ販売・収益化まで、一気通貫の不正エコシステムが構築されている。

リード文

中国を拠点とする脅威アクター「Lurking Lizard（ラーキング・リザード）」が、人気圧縮ソフト「7-Zip」などの偽インストーラーを配布し、ユーザーのデバイスを密かにレジデンシャルプロキシ（一般家庭のインターネット接続を利用してトラフィックを中継するプロキシサービス）の通信中継点へと仕立て上げるインフラを構築している。これはDNS脅威インテリジェンス企業Infobloxが2026年7月9日に発表したもので、同アクターは少なくとも2022年8月から活動し、230以上の類似ドメインや偽レビューサイトを駆使した不正ビジネスを展開しているという。

本文

7-Zip偽サイトによる感染とドメイン悪用

報告によると、今年初めのキャンペーンでは、正規サイト「7-zip[.]org」ではなく、誤入力を突いた類似ドメイン「7zip[.]com」が悪用されていた。そこから、正規ソフトを装って悪意ある動作をする「トロイの木馬化」インストーラーを配布し、ダウンロードしたデバイスを密かにプロキシノード（通信の中継点となるデバイス）化していた。被害者はチュートリアルや検索結果から偽サイトへ誘導されていた。また、期限切れドメインを即座に再登録する「ドロップキャッチ」手法を多用し、過去のドメインの信用を引き継ぐことで、検索エンジンを欺きつつサイトの正当性を演出していた。

主要ブランドへのなりすましとインフラ

Lurking Lizardは、IPIDEAやSmartProxyなど実在する主要プロキシサービスになりすますサイトや、偽レビューサイトを自作して詐欺的な販売サイトへ誘導していた。なりすまし対象のIPIDEAのインフラは今年1月にGoogleが解体したが、Proxywayの分析により、SmartProxyに関連する約77万のIPアドレスがIPIDEAの公開データセット（約1619万IP）にも存在していたことが確認された。これは、SmartProxyがIPIDEAのインフラを直接再販するか、主要なIP調達元としていた可能性を示している。

おとりの多様化とマルチプラットフォーム化

分析の結果、アクターが用いた「IPLogger（接続ログを記録するツール）」のURLから、共通のインフラが判明した。このインフラは、7-Zipの偽物のほか、WhatsApp、動画ダウンローダー、VPNサービス「WireVPN」の偽インストーラー配布にも使い回されていた。近年はWireVPNブランドを悪用し、WindowsやmacOS、Androidへ展開が進んでいる。特にGoogle Playストアの「wirevpn」アプリは100万回以上ダウンロードされていたが、これが自然なダウンロードであるかは不明だとしている。

組織化された不正エコシステム

Infobloxは、同アクターの運用体制が被害者の獲得から収益化までをカバーする、完成度の高い違法エコシステムであると指摘する。モデルは2段階あり、第一段階は、トロイの木馬化したインストーラー等を用いてデバイスを「ボットネット（外部から遠隔操作可能な感染デバイスのネットワーク）」へ組み込み、プロキシプールを拡張する。第二段階は、実在サービスに似せた偽ブランドでそのプールを販売し、偽レビューサイトで顧客を呼び込むことだ。モバイル版アプリにおいて、回線を中継する「出口ノード（通信が最終的にインターネットへ出て行く地点）」として機能しているかは未確定だが、獲得チャネルとして機能しているとみられている。

補足

Infobloxは、この犯罪活動がアフィリエイト広告業界で蔓延している不正広告（マルバタイジング）の手法と類似していると述べている。「あなたのテレビが巨大なボットネットの一部になっているかもしれない」という単純な話の裏には、はるかに複雑なエコシステムが存在しており、その根本的な解決策を見出すのは依然として困難であると説明している。