Se ha observado una red maliciosa de cuentas de YouTube que publican y promocionan vídeos que conducen a descargas de malware, abusando esencialmente de la popularidad y la confianza asociadas con la plataforma de alojamiento de vídeos para propagar cargas maliciosas.
Activa desde 2021, la red ha publicado más de 3000 vídeos maliciosos hasta la fecha, y su volumen se ha triplicado desde principios de año. Check Point la ha bautizado como la Red Fantasma de YouTube. Desde entonces, Google ha intervenido para eliminar la mayoría de estos vídeos.
La campaña aprovecha cuentas pirateadas y reemplaza su contenido con videos maliciosos que se centran en software pirateado y trucos para el juego Roblox para infectar con malware ladrón a usuarios desprevenidos que los buscan. Algunos de estos videos han acumulado cientos de miles de visualizaciones, con un rango de entre 147,000 y 293,000.
"Esta operación aprovechó las señales de confianza, como visualizaciones, "me gusta" y comentarios, para que el contenido malicioso pareciera seguro", declaró Eli Smadja, gerente del grupo de investigación de seguridad de Check Point. "Lo que parece un tutorial útil puede ser en realidad una cibertrampa perfeccionada. La escala, la modularidad y la sofisticación de esta red la convierten en un modelo de cómo los actores de amenazas ahora utilizan las herramientas de interacción para propagar malware".
El uso de YouTube para distribuir malware no es un fenómeno nuevo. Durante años, se ha observado que actores de amenazas secuestran canales legítimos o utilizan cuentas recién creadas para publicar videos tipo tutorial con descripciones que apuntan a enlaces maliciosos que, al hacer clic, conducen a malware.
Estos ataques forman parte de una tendencia más amplia en la que los atacantes reutilizan plataformas legítimas con fines maliciosos, convirtiéndolas en una vía eficaz para la distribución de malware. Si bien algunas campañas han abusado de redes publicitarias legítimas, como las asociadas a motores de búsqueda como Google o Bing, otras han aprovechado GitHub como vehículo de distribución, como en el caso de Stargazers Ghost Network.
Una de las principales razones por las que Ghost Networks ha despegado a lo grande es que no solo pueden usarse para amplificar la legitimidad percibida de los enlaces compartidos, sino también para mantener la continuidad operativa incluso cuando los propietarios de la plataforma prohíben o eliminan las cuentas, gracias a su estructura basada en roles.
"Estas cuentas aprovechan varias características de la plataforma, como videos, descripciones, publicaciones (una función de YouTube menos conocida similar a las publicaciones de Facebook) y comentarios para promover contenido malicioso y distribuir malware, al tiempo que crean una falsa sensación de confianza", dijo el investigador de seguridad Antonis Terefos.
La mayor parte de la red está compuesta por cuentas de YouTube comprometidas, a las que, una vez añadidas, se les asignan roles operativos específicos. Esta estructura basada en roles permite una distribución más sigilosa, ya que las cuentas bloqueadas pueden reemplazarse rápidamente sin interrumpir el funcionamiento general.
Hay tres tipos específicos de cuentas:
- Cuentas de video que suben videos de phishing y brindan descripciones con enlaces para descargar el software anunciado (alternativamente, los enlaces se comparten como un comentario fijado o se proporcionan directamente en el video como parte del proceso de instalación)
- Cuentas de publicación, que son responsables de publicar mensajes de la comunidad y publicaciones que contienen enlaces a sitios externos.
- Cuentas de interacción, a las que les gusta y publican comentarios alentadores para dar a los videos una apariencia de confianza y credibilidad.
Los enlaces dirigen a los usuarios a una amplia gama de servicios como MediaFire, Dropbox o Google Drive, o a páginas de phishing alojadas en Google Sites, Blogger y Telegraph que, a su vez, incluyen enlaces para descargar el supuesto software. En muchos casos, los enlaces se ocultan mediante acortadores de URL para ocultar el verdadero destino.
Algunas de las familias de malware distribuidas a través de la red fantasma de YouTube incluyen Lumma, Stealer, Rhadamanthys Stealer, StealC Stealer, RedLine Stealer, Phemedrone Stealer y otros cargadores y descargadores basados en Node.js.
- Un canal llamado @Sound_Writer (9,690 suscriptores), que ha sido comprometido durante más de un año para subir videos de software de criptomonedas para implementar Rhadamanthys
- Un canal llamado @Afonesio1 (129,000 suscriptores), que fue comprometido el 3 de diciembre de 2024 y el 5 de enero de 2025 para subir un video que anunciaba una versión pirateada de Adobe Photoshop para distribuir un instalador MSI que implementa Hijack Loader, que luego entrega Rhadamanthys
"La continua evolución de los métodos de distribución de malware demuestra la notable adaptabilidad e ingenio de los actores de amenazas para eludir las defensas de seguridad convencionales", afirmó Check Point. "Los adversarios están adoptando cada vez más estrategias más sofisticadas basadas en plataformas, en particular, el despliegue de redes fantasma".
"Estas redes aprovechan la confianza inherente a las cuentas legítimas y los mecanismos de interacción de las plataformas populares para orquestar campañas de malware a gran escala, persistentes y altamente efectivas".
