Sieť duchov YouTube

Skupina škodlivých účtov YouTube zneužíva popularitu platformy na šírenie škodlivého softvéru nič netušiacim používateľom. Napodobňovaním legitímneho návodového obsahu a softvérových crackov a spoliehaním sa na metriky interakcie títo aktéri premieňajú videá, ktoré vyzerajú ako užitočné, na vektory infekcie.

Rastúca, dlhodobo fungujúca prevádzka

Kampaň, ktorá je aktívna od roku 2021 a ktorú bezpečnostní experti teraz nazývajú YouTube Ghost Network (Sieť duchov YouTube), nahrala viac ako 3 000 škodlivých videí. Objem sa tento rok prudko zvýšil, približne strojnásobil, čo prinútilo spoločnosť Google odstrániť väčšinu problematického materiálu. Napriek zastaveniu šírenia informácií jej rozsah a modulárny dizajn umožňujú rýchlu regeneráciu.

Ako systém funguje: Dôvera ako zbraň

Útočníci unášajú legitímne kanály alebo vytvárajú nové a nahrádzajú či nahrávajú videá, ktoré propagujú pirátske aplikácie, cheaty do hier (najmä cheaty do Robloxu) alebo cracknutý softvér. Tieto videá sa často javia ako prepracované návody a používajú viditeľné signály dôveryhodnosti, vysoký počet zhliadnutí, lajkov a pozitívne komentáre, aby presvedčili divákov, že obsah je bezpečný. Mnohé infikované videá nazhromaždili státisíce zhliadnutí (hlásené rozsahy: ~147 000 – 293 000), vďaka čomu je táto návnada obzvlášť účinná.

Odolná infraštruktúra založená na rolách

Sila siete spočíva v jej štruktúre riadenej rolami: napadnutým účtom sú pridelené špecifické operačné úlohy, takže kampaň môže pokračovať aj v prípade, že sú jednotlivé účty zablokované. Táto architektúra pomáha udržiavať kontinuitu a sťažuje nápravu.

Medzi pozorované typy účtov patria:

Videoúčty : Nahrávajte návnadové videá a umiestňujte odkazy na stiahnutie do popisov, pripnutých komentárov alebo vkladajte do videonávodu.

Príspevkové účty : Publikujte príspevky alebo správy komunity, ktoré odkazujú na externé stránky.

Interakcia účtov : Pridávajte lajky a povzbudzujúce komentáre na vytvorenie sociálneho dôkazu a legitimity.

Dodací reťazec: Kam vedú články

Klikateľné odkazy v popisoch videí, komentároch a príspevkoch presmerujú divákov na služby hostingu súborov (MediaFire, Dropbox, Disk Google) alebo na phishingové/landingové stránky hostované na bezplatných platformách (Google Sites, Blogger, Telegraph). Tieto ciele často používajú skracovače URL adries na zakrytie konečného cieľa, ktorý často odkazuje na ďalšie stránky, ktoré nakoniec zobrazujú inštalačné alebo zavádzacie súbory.

Pozorované rodiny a zavádzače škodlivého softvéru

Výskumníci prepojili sieť s viacerými rodinami kradnúcimi informácie a zavádzacími a sťahovacími programami založenými na Node.js, ako napríklad:

Lumma Stealer, Rhadamanthys Stealer , StealC Stealer, RedLine Stealer , Phemedrone Stealer a rôzne Node.js zavádzače.

Konkrétne príklady zneužívania

Kanál s názvom @Sound_Writer (približne 9 690 odberateľov) bol viac ako rok napadnutý a používal sa na hosťovanie videí súvisiacich s kryptomenami, ktoré využívali Rhadamanthys.

Kanál s názvom @Afonesio1 (približne 129 000 odberateľov) bol napadnutý 3. decembra 2024 a opäť 5. januára 2025, aby zverejnil video ponúkajúce cracknutý Adobe Photoshop; distribuovaný program MSI poskytol Hijack Loader, ktorý následne nainštaloval Rhadamanthys.

Prečo siete duchov fungujú tak dobre

Tieto kampane sú úspešné, pretože prehodnocujú vlastné nástroje platformy na zapojenie používateľov tak, aby signalizovali legitimitu. Nastavenie založené na rolách umožňuje rýchlu výmenu účtov a nízku prevádzkovú odchodnosť, takže aj keď majitelia platformy odstránia obsah, celá kampaň prežije. Ghost Networks sú jasným príkladom toho, ako sa aktéri hrozieb prispôsobujú zneužívaním bežných sociálnych signálov a funkcií platformy ako zbraní.

Širší trend: Platformy ako distribučné kanály

YouTube nie je v zneužívaní jediný – útočníci už dlho používajú unesené alebo novovytvorené účty na zverejňovanie obsahu v štýle tutoriálov, ktorý presmerováva obete na škodlivé odkazy. Zneužívané boli aj ďalšie legitímne služby a reklamné siete (vyhľadávače, hosting súborov, stránky na hosťovanie kódu ako GitHub) ako súčasť distribuovaných reťazcov (napríklad súvisiaci model Stargazers Ghost Network).

Čo by mali robiť bezpečnostné tímy a používatelia

Praktické kroky na zníženie rizika:

• Nevyžiadaný „cracknutý“ softvér a sťahovanie cheatov považujte za vysoko rizikové; uprednostňujte stránky predajcov a oficiálne obchody.
• Pred sťahovaním si overte odkazy mimo platformy; vyhnite sa kliknutiu na skrátené adresy URL bez kontroly ich cieľového miesta.
• Zlepšite detekciu rodín stealerov a zavádzačov Node.js na úrovni siete a koncových bodov; monitorujte podozrivé správanie pri sťahovaní z bežných hostiteľov súborov.

• Vzdelávajte používateľov, aby nedôverovali signálom sociálnej odolnosti (zobrazenia, lajky, komentáre), ktoré sprevádzajú sťahovanie softvéru.

• Opravte napadnuté kanály skenovaním nezvyčajných nahrávaných súborov a rotujúcich prihlasovacích údajov a presadzujte viacfaktorové overovanie pre tvorcov.

Záverečná poznámka

Sieť YouTube Ghost Network ilustruje zručnosť moderných útočníkov v kombinovaní sociálneho inžinierstva s mechanikou platformy. Keďže táto operácia využíva signály dôveryhodnosti a modulárnu štruktúru účtov, obrancovia musia kombinovať vzdelávanie používateľov, ostražitosť platformy a technické kontroly, aby prerušili reťazec doručovania a znížili povrch hrozby.