YouTube'i kummitusvõrgustik

Pahatahtlike YouTube'i kontode kogum on platvormi populaarsust ära kasutanud, et pahavara pahaaimamatutele kasutajatele levitada. Matkides seaduslikke õpetusi ja tarkvaramurdmismaterjale ning tuginedes kaasatuse näitajatele, muudavad need tegelased pealtnäha kasulikud videod nakkusvektoriteks.

Kasvav ja pikaajaline ettevõte

Alates 2021. aastast aktiivne kampaania – mida turvateadlased on nüüdseks YouTube'i kummitusvõrgustikuks nimetanud – on üles laadinud üle 3000 pahatahtliku video. Maht kasvas sel aastal hüppeliselt, umbes kolmekordistudes, mis sundis Google'it suurema osa pahatahtlikust materjalist eemaldama. Vaatamata eemaldamistele võimaldavad operatsiooni ulatus ja modulaarne disain sellel kiiresti taastuda.

Kuidas skeem toimib: usaldus kui relv

Ründajad kaaperdavad legitiimseid kanaleid või loovad uusi ning asendavad või laadivad üles videoid, mis reklaamivad piraatrakendusi, mängupettusi (eriti Robloxi pettusi) või kräkitud tarkvara. Need videod ilmuvad sageli lihvitud õpetustena ja kasutavad nähtavaid usaldussignaale, suurt vaatamiste arvu, meeldimisi ja positiivseid kommentaare, et veenda vaatajaid sisu ohutuses. Paljud nakatunud videod on kogunud sadu tuhandeid vaatamisi (teatatud vahemikud: ~147 000–293 000), mis muudab peibutise eriti tõhusaks.

Rollipõhine ja vastupidav infrastruktuur

Võrgustiku tugevus tuleneb rollipõhisest struktuurist: ohustatud kontodele määratakse konkreetsed operatiivsed ülesanded, nii et kampaania saab jätkuda ka siis, kui üksikud kontod on keelatud. See arhitektuur aitab säilitada järjepidevust ja raskendab parandusmeetmete võtmist.

Vaadeldud kontode tüübid hõlmavad järgmist:

Videokontod : laadige üles söödavideoid ja lisage allalaadimislinke kirjeldustesse, kinnitatud kommentaaridesse või manustage videoülevaatesse.

Postituskontod : avaldage kogukonna postitusi või sõnumeid, mis lingivad välistele lehtedele.

Suhtluskontod : lisage meeldimisi ja julgustavaid kommentaare, et luua sotsiaalset tõestust ja legitiimsust.

Tarneahel: kuhu lülid viivad

Videokirjeldustes, kommentaarides ja postitustes olevad klõpsatavad lingid suunavad vaatajaid failimajutusteenustesse (MediaFire, Dropbox, Google Drive) või tasuta platvormidel (Google Sites, Blogger, Telegraph) majutatud andmepüügi-/maandumislehtedele. Sageli kasutavad need sihtkohad URL-i lühendajaid, et varjata lõppsihtmärki, mis sageli lingib lisalehtedele, mis lõpuks pakuvad installijaid või laadureid.

Täheldatud pahavara perekonnad ja laadurid

Teadlased on sidunud võrgu mitme infovarastusega tegeleva perekonna ja Node.js-põhiste laadurite ja allalaadijatega, näiteks:

Lumma Stealer, Rhadamanthys Stealer , StealC Stealer, RedLine Stealer , Phemedrone Stealer ja mitmesugused Node.js laadurid.

Konkreetsed näited väärkohtlemisest

Kanal nimega @Sound_Writer (umbes 9690 tellijat) oli enam kui aasta ohustatud ja seda kasutati krüptovaluutaga seotud videote majutamiseks, mis kasutasid Rhadamanthyst.

Kanal nimega @Afonesio1 (umbes 129 000 tellijat) kaaperdati 3. detsembril 2024 ja uuesti 5. jaanuaril 2025, et postitada video, milles pakuti krakitud Adobe Photoshopi; hajutatud MSI edastas Hijack Loaderit, mis omakorda installis Rhadamanthyse.

Miks kummitusvõrgud nii hästi töötavad

Need kampaaniad on edukad, kuna platvormi enda kaasamistööriistu kasutatakse ümber, et näidata legitiimsust. Rollipõhine ülesehitus võimaldab kontode kiiret asendamist ja väikest klientide voolavust, seega isegi kui platvormi omanikud sisu eemaldavad, jääb kampaania tervikuna ellu. Kummitusvõrgud on selge näide sellest, kuidas ohutegelased kohanevad, muutes tavapärased sotsiaalsed signaalid ja platvormi funktsioonid relvaks.

Suurem trend: platvormid kui edastuskanalid

YouTube pole ainus koht, kus seda kuritarvitatakse – ründajad on juba pikka aega kasutanud kaaperdatud või äsja loodud kontosid õppematerjalide stiilis sisu postitamiseks, mis suunab ohvreid pahatahtlikele linkidele. Hajutatud edastusahelate osana on kuritarvitatud ka teisi legitiimseid teenuseid ja reklaamivõrgustikke (otsingumootorid, failihostijad, koodihostimise saidid nagu GitHub) (näiteks seotud Stargazers Ghost Networki mudel).

Mida peaksid turvameeskonnad ja kasutajad tegema

Praktilised sammud riski vähendamiseks:

• Käsitle soovimatuid kräkitud tarkvara ja petuprogramme riskantsetena; eelista müüjate veebisaite ja ametlikke poode.
• Enne allalaadimist kontrollige platvormiväliseid linke; vältige lühendatud URL-ide jälgimist ilma sihtkohta kontrollimata.
• Tugevdatud tuvastuse abil saab tugevdada varastajate perekondi ja Node.js laadureid võrgu ja lõpp-punkti tasandil; jälgida kahtlast allalaadimiskäitumist levinud failimajutajatelt.

• Harida kasutajaid tarkvara allalaadimisega kaasnevaid sotsiaalselt tõestavaid vihjeid (vaatamisi, meeldimisi, kommentaare) umbusaldama.

• Parandage ohustatud kanalite probleeme ebatavaliste üleslaadimiste skannimise ja volituste vahetamise abil ning jõustage loojatele mitmefaktoriline autentimine.

Lõppsõna

YouTube'i kummitusvõrgustik näitab tänapäevaste ründajate oskust sotsiaalse manipuleerimise ja platvormimehaanika ühendamisel. Kuna operatsioon kasutab ära usaldussignaale ja modulaarset kontostruktuuri, peavad kaitsjad ühendama kasutajate koolitamise, platvormi valvsuse ja tehnilised meetmed, et katkestada edastusahel ja vähendada ohu pinda.