A kártékony kódok terjesztői előszeretettel próbálnak ki új módszereket annak érdekében, hogy elérjék céljaikat, legyen szó némi extra profitról, botnet építéséről, vagy egyéb dolgokról. A jelek szerint a 7-Zip is a kiberbűnözők áldozatául esett, igaz, nem közvetlenül, hanem csak közvetett módon, ugyanis létrehoztak egy 7-zip.com nevű weboldalt, amelyen keresztül 10 napon keresztül kártékony kóddal fertőzött telepítőkhöz juthattak azok a gyanútlan felhasználók, akik úgy hitték, a hivatalos 7-Zip weboldalon járnak. Az efféle „kamu” weboldalak eléggé gyakoriak, készítőik próbálnak hasznot húzni az adott szoftver népszerűségéből, de jellemzően csak a reklámbevételekre hajtanak, amit a hőn áhított szoftvert letölteni igyekvő felhasználók generálnak nekik.
A 7-zip.com első ránézésre megbízhatónak tűnhetett, hiszen a weboldal a hivatalos 7-zip.org lapra mutatott a letöltéseknél, valójában azonban trükkösen jártak el a készítők: a normál linkek csak a weboldal betöltését követő 20-30 másodpercben voltak elérhetőek, majd lecserélte őket az oldal motorja a kártékony telepítőkre mutató linkekre. Erre azért volt szükség, mert így azok az automatizált weboldal-szkennelő eszközök, amelyek egy oldal megbízhatóságát tesztelik, „nem láttak” semmi veszélyeset a lapon, csak a hivatalos 7-zip.org weboldalra mutató linkekkel találkoztak, amíg a lapon voltak, így nem is jelölték meg veszélyesként a 7-zip.com-ot – pedig veszélyes volt.
A malware segítségével a kiberbűnözők egy proxy szervert telepítettek a gyanútlan felhasználók számítógépeire, amit aztán arra használtak, hogy tevékenységeiket elfedjék. A malware működéséről a MalwareBytes csapata részletes leírást készített, valamint az egyik kiberbiztonsági szakértő, Luke Acha is részletesen foglalkozott már a témával.
Az egyelőre nem derült ki, pontosan milyen céllal terjesztették a kártékony kódot, azaz pontosan milyen bűncselekményekre akarták felhasználók a proxy szerverekből álló botnet tagjait. Az biztos, hogy a problémát először a SourceForge felhasználók jelezték, majd a japán IISJ-SECT csapata is felfigyelt rá, de az igazán nagy nyilvánosságot egy Reddit poszt adta, ahol egy pórul járt felhasználó elmesélte, egy YouTube oktatóvideó lépéseit követve hogyan jutott el a kártékony kódot tartalmazó lapra.
A kártékony kódokat tartalmazó telepítők mintegy 10 napig voltak elérhetőek az említett lapon, az eset azonban több tanulsággal is szolgál. Egyrészt kiemelten fontos, hogy a különböző szoftvereket megbízható forrásból szerezzük be, lehetőleg közvetlenül az adott gyártó vagy projekt hivatalos weboldalát használva. Ha a szoftver megvan, érdemes azt is ellenőrizni, tényleg azt kaptuk-e, amit szerettünk volna: ehhez Windows alatt a HashTools alkalmazást, míg Linux alatt a GtkHash vagy a QuickHash szoftvert használhatjuk. A hash értékét összehasonlíthatjuk az eredeti szoftverével, és ha stimmel, akkor jó eséllyel minden rendben.
