Die Vertreiber von bösartigen Coden probieren gerne neue Wege aus, um ihre Ziele zu erreichen, sei es, um zusätzlichen Profit zu machen, ein Botnet aufzubauen oder andere Dinge. Es scheint, dass auch 7-Zip Opfer von Cyberkriminellen geworden ist, zwar nicht direkt, aber indirekt, da eine Website namens 7-zip.com eingerichtet wurde, um ahnungslosen Benutzern, die dachten, sie würden die offizielle 7-Zip-Website besuchen, 10 Tage lang Installationsprogramme für bösartigen Code zu liefern. Solche "gefälschten" Websites sind recht häufig. Ihre Ersteller versuchen, von der Popularität der Software zu profitieren, sind aber in der Regel nur an den Werbeeinnahmen interessiert, die von Benutzern erzielt werden, die versuchen, die begehrte Software herunterzuladen.
7-zip.com sah zwar auf den ersten Blick vertrauenswürdig aus, da die Website auf die offizielle Download-Seite 7-zip.org verwies, aber in Wirklichkeit waren die Macher trickreich: Die normalen Links waren nur für 20-30 Sekunden nach dem Laden der Website verfügbar, dann ersetzte die Engine der Website sie durch Links zu bösartigen Installationsprogrammen. Dies war notwendig, damit automatische Web-Scan-Tools, die die Zuverlässigkeit einer Website testen, nichts Gefährliches auf der Seite "sehen", sondern nur Links zur offiziellen 7-zip.org-Website, solange sie sich auf der Seite befinden, und somit 7-zip.com nicht als gefährlich einstufen - und das war es auch.
Mithilfe der Malware installierten die Cyberkriminellen einen Proxy-Server auf den Computern der ahnungslosen Benutzer, den sie dann zur Verschleierung ihrer Aktivitäten nutzten. Die Malware wurde vom MalwareBytes-Team ausführlich beschrieben und auch der Cyber-Sicherheitsexperte Luke Acha hat ausführlich darüber berichtet.
Es ist noch nicht klar, was genau der Zweck des bösartigen Codes war, d. h. für welche kriminellen Aktivitäten die Mitglieder des Botnetzes von Proxy-Servern eingesetzt werden sollten. Sicher ist, dass das Problem zunächst von SourceForge-Benutzern gemeldet und dann vom IISJ-SECT-Team in Japan bemerkt wurde, aber die eigentliche Aufmerksamkeit erregte ein Reddit-Post, in dem ein verzweifelter Benutzer erklärte, wie er den Schritten eines YouTube-Tutorial-Videos gefolgt war, um auf die Seite mit dem Schadcode zu gelangen.
Die bösartigen Installationsprogramme waren etwa 10 Tage lang auf der Seite verfügbar, aber der Fall bietet mehrere Lehren. Erstens ist es von größter Wichtigkeit, die verschiedenen Softwareprogramme von einer vertrauenswürdigen Quelle zu beziehen, vorzugsweise direkt von der offiziellen Website des Herstellers oder des Projekts. Wenn Sie die Software haben, lohnt es sich zu überprüfen, ob Sie auch wirklich das bekommen haben, was Sie wollten: Unter Windows können Sie dazu die Anwendung HashTools verwenden, unter Linux die Software GtkHash oder QuickHash. Sie können den Hash-Wert mit dem der Originalsoftware vergleichen, und wenn er übereinstimmt, ist wahrscheinlich alles in Ordnung.
