https://cyberveille.ch/tags/hero.exe/ Recent content in Hero.exe on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-lurking-lizard-faux-installeurs-7-zip-et-wirevpn-pour-transformer-les-victimes-en-noeuds-proxy/ Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-lurking-lizard-faux-installeurs-7-zip-et-wirevpn-pour-transformer-les-victimes-en-noeuds-proxy/ <h2 id="-contexte">🕵️ Contexte</h2> <p>Rapport publié le 8 juillet 2026 par Infoblox, relayé par Cyber Security News et Cryptika. L&rsquo;analyse documente une opération cybercriminelle active depuis au moins <strong>août 2022</strong>, attribuée au groupe <strong>Lurking Lizard</strong>, dont l&rsquo;origine est présumée <strong>chinoise</strong> sur la base des données d&rsquo;enregistrement de domaines.</p> <h2 id="-mode-opératoire">🎯 Mode opératoire</h2> <p>Lurking Lizard opère un <strong>écosystème complet de proxy résidentiel frauduleux</strong> :</p> <ul> <li>Utilisation de la technique <strong>drop-catching</strong> : acquisition de domaines expirés ayant hérité d&rsquo;une réputation SEO accidentelle (ex. <code>7zip[.]com</code>, référencé par erreur dans des forums pendant des années)</li> <li>Distribution de <strong>faux installeurs</strong> se substituant à des logiciels légitimes (7-Zip, outils de téléchargement TikTok/YouTube)</li> <li>Un <strong>lien IPLogger hardcodé</strong> dans les samples de malware a permis de relier l&rsquo;ensemble des campagnes entre elles</li> <li>Les victimes installent un <strong>logiciel proxy caché</strong> qui loue leur connexion internet à des clients payants sans leur consentement</li> </ul> <h2 id="-infrastructure-et-échelle">📦 Infrastructure et échelle</h2> <ul> <li>Plus de <strong>230 domaines</strong> identifiés, couvrant faux VPN, faux outils de téléchargement, faux sites de revue de proxy</li> <li>Au moins <strong>7 domaines drop-catch</strong> liés au même acteur, certains enregistrés dès 2004</li> <li>Connexions établies via : enregistrements WHOIS partagés, codes de tracking identiques, structures de serveurs backend communes</li> </ul> <h2 id="-évolution-vers-wirevpn">📱 Évolution vers WireVPN</h2> <p>L&rsquo;opération a évolué sous le nom <strong>WireVPN</strong>, disponible sur <strong>Apple App Store et Google Play</strong>, avec plus d&rsquo;<strong>un million de téléchargements</strong> sur Android. Les tests ont révélé que l&rsquo;application contacte un grand nombre d&rsquo;adresses IP non liées et ouvre de multiples connexions simultanées, comportement cohérent avec un <strong>nœud de sortie proxy</strong> plutôt qu&rsquo;un vrai VPN. Les applications utilisent des <strong>certificats de signature de code valides</strong> issus de sociétés enregistrées.</p>