Site não oficial do 7-zip.com distribuiu downloads com malware por mais de uma semana, comprometendo PCs em uma botnet proxy

Quando se está montando um novo PC, instalar programas como 7-zip, PeaZip ou WinRAR é quase automático. Entretanto, é fácil cair na armadilha de baixar arquivos executáveis maliciosos de fontes não oficiais, como aconteceu recentemente com o site 7-zip.com.

O endereço correto para o projeto 7-Zip é 7-zip.org. No entanto, sites falsos que copiam projetos gratuitos costumam surgir, buscando atrair cliques para ganhar dinheiro com publicidade. Isso parecia ser o caso do 7-zip.com, até que, entre 12 e 22 de janeiro, os links de download começaram a redirecionar usuários para um executável infectado.

A tática utilizada era astuta: ao acessar 7-zip.com, os visitantes encontravam links normais para os executáveis oficiais em 7-zip.org. Após cerca de 20 a 30 segundos, um script mudava esses links para arquivos infectados. Essa estratégia permitia que ferramentas de verificação automática não classificassem o site como malicioso.

Comprovou-se que o malware em questão não realizava ações diretas, mas instalava um servidor proxy, transformando o PC da vítima em parte de uma botnet controlada remotamente. A partir daí, criminosos podiam realizar atividades de forma anônima. A MalwareBytes disponibilizou uma análise detalhada sobre o trojan em seu site, e especialistas em segurança cibernética já haviam publicado aprofundamentos técnicos sobre o caso.

As intenções maliciosas do site são difíceis de determinar, pois é complicado lucrar com anúncios quando se é marcado como distribuindo malware. Essa situação não é nova, pois já ocorreram diversos incidentes semelhantes. O fato de que os testes em máquinas com NextDNS e bloqueadores de anúncios não impediram o script levanta preocupações.

Veja, o problema foi inicialmente identificado por usuários do SourceForge em um fórum, e o primeiro grupo técnico a detectá-lo foi um consórcio japonês. A consciência sobre o tema se espalhou por meio de um post no Reddit, onde um usuário relatou ter seguido um tutorial do YouTube que o levou ao site malicioso, que parecia oficial.

A lição aqui é clara: sempre baixe software de fontes oficiais e tenha certeza de que você conhece qual é a autêntica. Também é recomendado verificar os hashes dos arquivos baixados. Ferramentas como HashTools para Windows e sha256sum ou GtkHash/QuickHash para Linux podem ajudar nesse processo.