OpenSUpdater è una famiglia di malware utilizzata per distribuire ed eseguire codice dannoso tramite un pacchetto di installazione mascherato. Nel contesto di questo caso, è associata a un archivio autoestraente 7-Zip ricompilato, o SFX, in cui la logica pericolosa può risiedere nel wrapper eseguibile invece che nei file che appaiono dopo l'estrazione.
Questo è importante perché un archivio SFX non è solo un contenitore; il suo stub è codice attivo. Questo consente agli aggressori di nascondere un reflective loader nella shell del programma di installazione, così l'esecuzione del payload può avvenire in memoria con meno artefatti evidenti su disco. Un pacchetto può anche includere un programma di installazione legittimo come esca, riducendo i sospetti durante controlli rapidi. Per i difensori, la lezione è ispezionare l'intero binario del programma di installazione, monitorare l'esecuzione in memoria ed evitare di considerare le cartelle estratte dall'aspetto pulito come prova che un pacchetto sia sicuro.