Google удалил тысячи видеороликов с YouTube, которые незаметно распространяли вредоносное ПО для кражи паролей, замаскированное под взломанное программное обеспечение и читы для игр.
Исследователи из Check Point утверждают, что так называемая «Сеть Призраков YouTube» захватывала и использовала легитимные аккаунты YouTube для публикации обучающих роликов, обещавших бесплатные копии Photoshop, FL Studio и взломанные версии Roblox. На деле же злоумышленники вводили зрителей в заблуждение, побуждая установить вредоносные программы, такие как Rhadamanthys и Lumma.
Кампания, которая ведётся с 2021 года, достигла пика в 2025 году, когда количество вредоносных видеороликов утроилось по сравнению с предыдущими годами. Более 3000 видеороликов, содержащих вредоносное ПО, были удалены с платформы после того, как Check Point совместно с Google ликвидировала одну из самых масштабных кампаний по распространению вредоносного ПО, когда-либо наблюдавшихся на YouTube.
По данным Check Point, «Сеть Призраков» опиралась на тысячи поддельных и скомпрометированных аккаунтов, которые действовали слаженно, чтобы придать вредоносному контенту вид легитимного. Одни публиковали «обучающие» видеоролики, другие заполняли разделы комментариев похвалами, лайками и эмодзи, создавая иллюзию доверия, а третьи размещали в «сообщениях сообщества» ссылки для скачивания и пароли к якобы взломанному программному обеспечению.
«Эта операция использовала сигналы доверия, включая просмотры, лайки и комментарии, чтобы заставить вредоносный контент казаться безопасным», — отметил Эли Смаджа, руководитель группы исследований безопасности в Check Point. «То, что выглядит как полезный обучающий ролик, на самом деле может оказаться тщательно продуманной киберловушкой. Масштаб, модульность и сложность этой сети делают её примером того, как сегодня злоумышленники используют механизмы вовлечения для распространения вредоносного ПО».
После того как пользователь попадался на крючок, ему предлагалось отключить антивирусное ПО, а затем загрузить архив, размещённый на Dropbox, Google Drive или MediaFire. Внутри вместо рабочей версии обещанной программы находилось вредоносное ПО, которое после запуска похищало учетные данные, криптокошельки и системную информацию, отправляя их на удалённые серверы управления и контроля.
На одном из взломанных каналов с 129 тысячами подписчиков была опубликована взломанная версия Adobe Photoshop, которая набрала почти 300 тысяч просмотров и более тысячи лайков. Другой канал ориентировался на пользователей, связанных с криптовалютой, перенаправляя их на фишинговые страницы, размещённые на Google Sites.
При отслеживании сети Check Point обнаружила, что её операторы часто меняли вредоносные файлы и обновляли ссылки для скачивания, чтобы опережать блокировки. Это создавало устойчивую экосистему, способную быстро восстанавливаться даже после удаления учётных записей.
По данным Check Point, модульная структура «Сети Призраков», включавшая загрузчиков, комментаторов и распространителей ссылок, позволяла кампании существовать на протяжении многих лет. Этот подход напоминает операцию под названием «Stargazers Ghost Network» на GitHub, где поддельные учётные записи разработчиков содержали вредоносные репозитории.
Хотя большинство вредоносных видеороликов продвигали пиратское программное обеспечение, главной приманкой стали игровые читы, особенно для Roblox, у которой насчитывается около 380 миллионов активных пользователей в месяц. Другие видео предлагали взломанные версии Microsoft Office, Lightroom и программ Adobe. Самый популярный вредоносный ролик был посвящён Photoshop и набрал почти 300 тысяч просмотров до того, как Google начала очистку платформы.
Всплеск активности в 2025 году ознаменовал резкий сдвиг в способах распространения вредоносного ПО. Если раньше доминировали фишинговые письма и скрытые загрузки, то теперь злоумышленники используют социальное доверие к популярным платформам, чтобы обойти скептицизм пользователей.
«Сегодня даже на вид безобидное видео может быть столь же опасным, как фишинговое письмо», – подчеркнул Смаджа. – «Этот случай показывает, что даже надёжные платформы не застрахованы от использования в злонамеренных целях, но также доказывает, что совместными усилиями можно противостоять подобным угрозам».
Материалы: Theregister.com (Carly Page)