Se ha observado una red de cuentas de YouTube que publica y promociona videos que conducen a descargas de malware, abusando esencialmente de la popularidad y la confianza asociadas a la plataforma de alojamiento de videos para propagar cargas no seguras.
Activa desde 2021, la red ha publicado más de 3000 vídeos hasta la fecha, y el volumen de dichos videos se ha triplicado desde principios de año. Check Point la ha bautizado con el nombre en clave de YouTube Ghost Network. Desde entonces, Google ha intervenido para eliminar la mayoría de estos videos.
La campaña aprovecha cuentas pirateadas y sustituye su contenido por vídeos centrados en software pirateado y trucos para el juego Roblox con el fin de infectar con malware ladrón a usuarios desprevenidos que los buscan. Algunos de estos vídeos han acumulado cientos de miles de visitas, entre 147 000 y 293 000.
"Esta operación se aprovechó de las señales de confianza, como las visualizaciones, los me gusta y los comentarios, para hacer que el contenido pareciera seguro", afirmó Eli Smadja, director del grupo de investigación de seguridad de Check Point. "Lo que parece un tutorial útil puede ser en realidad una sofisticada trampa cibernética. La escala, la modularidad y la sofisticación de esta red la convierten en un modelo de cómo los actores utilizan ahora las herramientas de interacción para propagar software no seguro".
El uso de YouTube para la distribución de malware no es un fenómeno nuevo. Durante años, se ha observado cómo los actores secuestran canales legítimos o utilizan cuentas de nueva creación para publicar vídeos de estilo tutorial con descripciones que apuntan a enlaces que, al hacer clic en ellos, conducen a malware.
Estos ataques forman parte de una tendencia más amplia en la que los atacantes reutilizan plataformas legítimas, convirtiéndolas en una vía eficaz para la distribución de malware. Mientras que algunas de las campañas han abusado de redes publicitarias legítimas, como las asociadas a motores de búsqueda como Google o Bing, otras han aprovechado GitHub como vehículo de distribución, como en el caso de Stargazers Ghost Network.
Una de las principales razones por las que las redes Ghost Networks han tenido tanto éxito es que no solo pueden utilizarse para amplificar la legitimidad percibida de los enlaces compartidos, sino también para mantener la continuidad operativa incluso cuando las cuentas son prohibidas o eliminadas por los propietarios de la plataforma, gracias a su estructura basada en roles.
"Estas cuentas aprovechan diversas funciones de la plataforma, como videos, descripciones, publicaciones (una función menos conocida de YouTube similar a las publicaciones de Facebook) y comentarios para promover contenidos no seguro y distribuir malware, al tiempo que crean una falsa sensación de confianza", afirma el investigador de seguridad Antonis Terefos.
"La mayor parte de la red está formada por cuentas de YouTube comprometidas que, una vez añadidas, se les asignan funciones operativas específicas. Esta estructura basada en roles permite una distribución más sigilosa, ya que las cuentas bloqueadas pueden sustituirse rápidamente sin interrumpir el funcionamiento general".
Hay tres tipos específicos de cuentas:
- Cuentas de vídeo, que suben vídeos de phishing y proporcionan descripciones que contienen enlaces para descargar el software anunciado (alternativamente, los enlaces se comparten como un comentario fijado o se proporcionan directamente en el vídeo como parte del proceso de instalación).
- Cuentas de publicación, que se encargan de publicar mensajes y entradas de la comunidad que contienen enlaces a sitios externos.
- Cuentas de interacción, que dan «me gusta» y publican comentarios alentadores para dar a los vídeos una apariencia de confianza y credibilidad.
Los enlaces dirigen a los usuarios a una amplia gama de servicios como MediaFire, Dropbox o Google Drive, o a páginas de phishing alojadas en Google Sites, Blogger y Telegraph que, a su vez, incorporan enlaces para descargar el supuesto software. En muchos de estos casos, los enlaces se ocultan mediante acortadores de URL para enmascarar el verdadero destino.
Algunas de las familias de malware distribuidas a través de la red fantasma de YouTube incluyen Lumma Stealer, Rhadamanthys Stealer, StealC Stealer, RedLine Stealer, Phemedrone Stealer y otros cargadores y descargadores basados en Node.js:
- Un canal llamado @Sound_Writer (9690 suscriptores), que ha sido comprometido durante más de un año para subir vídeos de software de criptomonedas con el fin de desplegar Rhadamanthys
- Un canal llamado @Afonesio1 (129 000 suscriptores), que fue comprometido el 3 de diciembre de 2024 y el 5 de enero de 2025 para subir un vídeo que anunciaba una versión pirateada de Adobe Photoshop con el fin de distribuir un instalador MSI que implementa Hijack Loader, que a su vez entrega Rhadamanthys.
"La continua evolución de los métodos de distribución de malware demuestra la notable capacidad de adaptación y el ingenio de los autores de amenazas a la hora de eludir las defensas de seguridad convencionales", afirma Check Point. "Los adversarios están adoptando cada vez más estrategias sofisticadas basadas en plataformas, entre las que destaca el despliegue de redes fantasma".
"Estas redes aprovechan la confianza inherente a las cuentas legítimas y los mecanismos de interacción de las plataformas populares para orquestar campañas de malware a gran escala, persistentes y muy eficaces".
Fuente: thehackernews