Quando l’open source diventa un’arma: il caso dell’installer di 7-Zip infetto

Chi cerca online un programma per comprimere file dà quasi per scontato che il risultato sia legittimo, soprattutto se il nome che compare è uno dei più noti e diffusi al mondo, come 7-Zip. È esattamente questa fiducia che un gruppo di attaccanti ha sfruttato tra la fine del 2025 e l’inizio del 2026, costruendo una campagna di distribuzione malevola capace di colpire vittime in tutto il mondo, dagli Stati Uniti all’Asia-Pacifico fino all’Europa.

A raccontare la vicenda in dettaglio è stata l’azienda di cybersecurity Darktrace, che ha ricostruito l’intera catena d’attacco osservata sulle reti di alcuni suoi clienti tra il 7 e il 22 gennaio 2026. Vale la pena ripercorrerla, perché è un esempio quasi da manuale di come un software “di fiducia” possa trasformarsi in un cavallo di Troia.

Un sito clone, quasi perfetto

Tutto parte da un dominio: 7zip[.]com. Un indirizzo che assomiglia moltissimo a quello ufficiale del progetto, 7-zip[.]org, ma che in realtà non ha nulla a che fare con gli sviluppatori originali. Questa tecnica, nota come typosquatting, punta proprio sulla somiglianza visiva per ingannare chi digita l’indirizzo a mano o clicca un link poco attendibile.

Gli aggressori non si sono limitati a mettere online il sito civetta: lo hanno anche promosso attraverso contenuti su YouTube, tra cui tutorial che indicavano esplicitamente quel dominio come fonte da cui scaricare il programma. Una scelta furba, perché sposta la fiducia della vittima dal sito in sé al video che lo consiglia.

Il trucco più insidioso: il malware funziona davvero

Uno degli aspetti più interessanti di questa campagna è che l’installer scaricato non è una semplice esca vuota. Al suo interno c’è effettivamente una versione modificata ma funzionante di 7-Zip (il file 7zfm.exe), che si installa ed esegue normalmente. Chi lo usa vede l’interfaccia consueta, comprime e decomprime i propri archivi senza notare nulla di strano.

Il problema è quello che arriva insieme, senza che l’utente lo sappia: file come Uphero.exe, hero.exe e hero.dll, estranei al pacchetto ufficiale di 7-Zip. Sono questi componenti a occuparsi del vero obiettivo della campagna: garantire persistenza sul dispositivo infetto e trasformarlo in un nodo proxy controllato a distanza dagli attaccanti.

In pratica, il computer della vittima diventa un piccolo snodo attraverso cui altri possono far transitare traffico di rete, riciclando la sua connessione e il suo indirizzo IP come schermo per attività che non hanno nulla a che vedere con l’utente stesso.

Cosa ha osservato Darktrace sulle reti dei clienti

Analizzando il traffico di un dispositivo compromesso, gli analisti hanno potuto ricostruire una sequenza di eventi piuttosto chiara. Il 7 gennaio il dispositivo ha iniziato a contattare ripetutamente un indirizzo IP esterno sulla porta 1000, un dettaglio che coincide con quanto riportato da fonti OSINT sul comportamento del componente hero.exe, solito instaurare connessioni proxy in uscita su porte non convenzionali come 1000 e 1002.

Nello stesso giorno è comparsa anche una connessione cifrata (TLS) verso update.7zip[.]com, quasi certamente il canale attraverso cui il dispositivo scaricava aggiornamenti o istruzioni dal server malevolo.

Nei giorni successivi, tra l’8 e il 15 gennaio, l’infezione ha iniziato a comunicare con una serie di domini “a tema” che richiamavano tutti la parola “hero” o “smshero” (ad esempio nova.smshero[.]ai, zest.hero-sms[.]ai o glide.smshero[.]cc). Si tratta, con ogni probabilità, di infrastrutture di comando e controllo rotanti: gli attaccanti cambiano spesso dominio proprio per rendere più difficile il blocco da parte dei sistemi di sicurezza.

Le connessioni proxy verso le porte 1000 e 1002, secondo le stesse fonti open source, sfruttavano inoltre un protocollo offuscato tramite una semplice cifratura XOR, pensato per nascondere il contenuto dei messaggi di controllo agli occhi di chi analizza il traffico.

Tra il 7 e il 18 gennaio Darktrace ha anche rilevato tentativi di esfiltrazione di dati “a bassa intensità e prolungata nel tempo” (la tecnica del low and slow) verso uno degli indirizzi IP coinvolti, oltre a un episodio di trasferimento più massiccio, dell’ordine del gigabyte, avvenuto il 18 gennaio.

La risposta automatica ha fatto la differenza

Il punto centrale del racconto di Darktrace non è solo la scoperta dell’attacco, ma la reazione. Nelle varie fasi della compromissione, il sistema di risposta autonoma dell’azienda ha bloccato in automatico le connessioni sospette: dai primi beaconing verso endpoint sconosciuti, ai tentativi di esfiltrazione più piccoli, fino ai trasferimenti di dati più consistenti. Questo non ha impedito l’infezione iniziale, ma ha limitato concretamente i danni, guadagnando tempo prezioso ai team di sicurezza dei clienti per intervenire e ripulire i sistemi.

È un dettaglio che vale la pena sottolineare: in scenari come questo, dove il malware si maschera da software legittimo e passa quasi inosservato durante l’installazione, la differenza tra un incidente contenuto e uno grave si gioca spesso nei minuti e nelle ore successive alla prima connessione sospetta, non nella fase di download.

Cosa ci insegna questo episodio

Al di là dei dettagli tecnici, la vicenda dell’installer di 7-Zip trojanizzato racconta qualcosa di più ampio sull’evoluzione delle minacce informatiche. Sempre più spesso gli attaccanti non puntano su strumenti evidentemente sospetti, ma su software che tutti conoscono e usano quotidianamente, sfruttando proprio la fiducia che li circonda per abbassare la guardia delle vittime.

Alcune indicazioni pratiche che si possono trarre:

• Scaricare software solo dai canali ufficiali, verificando con attenzione l’indirizzo del sito, specialmente per programmi molto popolari, che sono anche i bersagli più appetibili per operazioni di typosquatting.
• Diffidare dei tutorial online che rimandano a domini alternativi rispetto a quelli ufficiali del progetto, anche se il video sembra curato e credibile.
• Non fidarsi ciecamente del fatto che un programma “funzioni bene”: un malware ben progettato può convivere silenziosamente con un’applicazione legittima e pienamente operativa.
• Investire nel monitoraggio della rete, non solo nella protezione dell’endpoint: molte di queste infezioni si rivelano attraverso pattern di traffico anomali (connessioni ripetute, porte non standard, beaconing) prima ancora di manifestarsi in altri modi.

La battaglia contro questo tipo di attacchi si gioca sempre di più sulla capacità di riconoscere comportamenti anomali all’interno di attività che, in superficie, sembrano assolutamente normali. Ed è proprio in questo equilibrio, tra fiducia diffusa e vigilanza costante, che si giocherà buona parte della sicurezza informatica dei prossimi anni.