Xarxa Fantasma de YouTube

Un grup de comptes maliciosos de YouTube ha estat explotant la popularitat de la plataforma per enviar programari maliciós a usuaris desprevinguts. Imitant contingut legítim de tutorials i cracks de programari i basant-se en les mètriques d'interacció, aquests actors converteixen el que semblen vídeos útils en vectors d'infecció.

Una operació creixent i de llarga durada

Activa des del 2021, la campanya —que ara els investigadors de seguretat anomenen YouTube Ghost Network— ha penjat més de 3.000 vídeos maliciosos. El volum va augmentar aquest any, aproximadament triplicant-se, cosa que va obligar Google a eliminar la major part del material ofensiu. Malgrat les retirades, l'escala i el disseny modular de l'operació li permeten regenerar-se ràpidament.

Com funciona l’esquema: la confiança com a arma

Els atacants segresten canals legítims o en creen de nous i substitueixen o pengen vídeos que anuncien aplicacions pirates, trucs de jocs (en particular, trucs de Roblox) o programari piratejat. Aquests vídeos sovint apareixen com a tutorials polits i utilitzen senyals de confiança visibles, un nombre elevat de visualitzacions, "m'agrada" i comentaris positius per convèncer els espectadors que el contingut és segur. Molts vídeos infectats han acumulat centenars de milers de visualitzacions (rangs reportats: ~147.000–293.000), cosa que fa que l'esquer sigui especialment eficaç.

Una infraestructura resilient basada en rols

La força de la xarxa prové de la seva estructura basada en rols: als comptes compromesos se'ls assignen tasques operatives específiques, de manera que la campanya pot continuar fins i tot quan els comptes individuals estan prohibits. Aquesta arquitectura ajuda a mantenir la continuïtat i dificulta la remediació.

Els tipus de comptes observats inclouen:

Comptes de vídeo : Pengeu vídeos d'esquer i col·loqueu enllaços de descàrrega a les descripcions, als comentaris fixats o incrustats a la guia de vídeo.

Publicacions de comptes : publica publicacions o missatges de la comunitat que enllacin a pàgines externes.

Comptes d'interacció : afegiu "m'agrada" i comentaris encoratjadors per crear proves socials i legitimitat.

Cadena de lliurament: on porten els enllaços

Els enllaços clicables a les descripcions, comentaris i publicacions de vídeos redirigeixen els espectadors a serveis d'allotjament d'arxius (MediaFire, Dropbox, Google Drive) o a pàgines de destinació/phishing allotjades en plataformes gratuïtes (Google Sites, Blogger, Telegraph). Sovint, aquestes destinacions utilitzen escurçadors d'URL per ocultar l'objectiu final, que sovint enllaça a pàgines addicionals que finalment proporcionen instal·ladors o carregadors.

Famílies i carregadors de programari maliciós observats

Els investigadors han vinculat la xarxa a múltiples famílies de robatori d'informació i carregadors i descarregadors basats en Node.js, com ara:

Lumma Stealer, Rhadamanthys Stealer , StealC Stealer, RedLine Stealer , Phemedrone Stealer, a més de diversos carregadors de Node.js.

Exemples concrets d’abús

Un canal anomenat @Sound_Writer (aprox. 9.690 subscriptors) va estar compromès durant més d'un any i s'utilitzava per allotjar vídeos relacionats amb criptomonedes que implementaven Rhadamanthys.

El canal anomenat @Afonesio1 (uns 129.000 subscriptors) va ser segrestat el 3 de desembre de 2024 i de nou el 5 de gener de 2025 per publicar un vídeo que oferia un Adobe Photoshop piratejat; l'MSI distribuït va lliurar Hijack Loader, que al seu torn va instal·lar Rhadamanthys.

Per què les xarxes fantasma funcionen tan bé

Aquestes campanyes tenen èxit perquè reutilitzen les eines d'interacció de la plataforma per indicar legitimitat. La configuració basada en rols permet una substitució ràpida dels comptes i una baixa rotació operativa, de manera que fins i tot quan els propietaris de la plataforma eliminen contingut, la campanya en general sobreviu. Les xarxes fantasma són un clar exemple de com els actors d'amenaces s'adapten convertint en armes els senyals socials normals i les funcions de la plataforma.

Una tendència més àmplia: plataformes com a canals de distribució

YouTube no és l'únic país que pateix abusos: els atacants fa temps que utilitzen comptes segrestats o de nova creació per publicar contingut d'estil tutorial que dirigeix les víctimes a enllaços maliciosos. Altres serveis i xarxes publicitàries legítimes (motors de cerca, amfitrions d'arxius, llocs d'allotjament de codi com ara GitHub) també han estat objecte d'abusos com a part de cadenes de lliurament distribuïdes (per exemple, el model relacionat Stargazers Ghost Network).

Què haurien de fer els equips de seguretat i els usuaris

Mesures pràctiques per reduir el risc:

• Tracteu el programari "crackejat" no sol·licitat i les descàrregues de trampes com a d'alt risc; preferiu els llocs web de proveïdors i les botigues oficials.
• Verifica els enllaços fora de la plataforma abans de descarregar-los; evita seguir URL escurçades sense comprovar-ne la destinació.
• Enfortir la detecció de famílies de lladres i carregadors de Node.js a nivell de xarxa i punt final; monitoritzar el comportament de descàrrega sospitós des d'amfitrions de fitxers comuns.

• Educar els usuaris perquè desconfiïn dels senyals de prova social (visualitzacions, "m'agrada", comentaris) quan acompanyen les descàrregues de programari.

• Remeieu els canals compromesos mitjançant l'escaneig de càrregues inusuals i la rotació de credencials, i apliqueu l'autenticació multifactor per als creadors.

Nota de cloenda

La xarxa YouTube Ghost Network il·lustra la fluïdesa dels atacants moderns a l'hora de combinar l'enginyeria social amb la mecànica de la plataforma. Com que l'operació explota senyals de confiança i una estructura de comptes modular, els defensors han de combinar l'educació dels usuaris, la vigilància de la plataforma i els controls tècnics per interrompre la cadena de lliurament i reduir la superfície d'amenaça.