Une vaste opération de diffusion de logiciels malveillants, dissimulée derrière des vidéos YouTube, a été démantelée grâce à la vigilance des chercheurs en sécurité de Check Point Research. Pendant plus d’un an, ils ont traqué ce réseau sophistiqué, qui utilisait des comptes compromis et de faux profils pour infecter des utilisateurs à travers le monde.
L’escroquerie, baptisée « GhostNetwork » (Réseau fantôme), se présentait sous la forme de tutoriels et de démonstrations de logiciels apparemment inoffensifs. En réalité, ces vidéos servaient de vecteur pour distribuer des programmes malveillants tels que Rhadamanthys et Lumma, conçus pour voler des informations personnelles et des identifiants.
Plus de 3 000 vidéos malveillantes ont été identifiées et supprimées de YouTube suite aux signalements de Check Point Research, perturbant ainsi l’une des plus importantes campagnes de diffusion de logiciels malveillants observées sur la plateforme. Les attaquants utilisaient des logiciels piratés et des astuces pour les jeux vidéo afin d’inciter les victimes à télécharger des archives protégées par mot de passe, contenant en réalité les programmes malveillants.
Le réseau fantôme ne se limitait pas à la simple publication de vidéos. Il s’agissait d’un système coordonné, composé de différents types de comptes : des comptes vidéo pour diffuser les liens malveillants, des comptes de publication pour partager les mots de passe et les liens mis à jour, et des comptes d’engagement pour simuler une activité légitime en publiant des commentaires positifs et des « likes », créant ainsi un faux sentiment de confiance.
Cette structure modulaire permettait aux cybercriminels de mettre à l’échelle rapidement leurs opérations et de contourner les mesures de blocage des comptes, rendant la suppression des contenus malveillants particulièrement complexe. Les victimes étaient incitées à télécharger des fichiers hébergés sur des plateformes comme Dropbox, Google Drive ou MediaFire, qui désactivaient temporairement la protection Windows Defender avant d’installer discrètement les logiciels malveillants.
L’enquête a révélé des exemples concrets de l’efficacité de cette campagne. Un canal YouTube compromis, comptant 129 000 abonnés, a diffusé une version piratée d’Adobe Photoshop, accumulant 291 000 vues et plus de 1 000 « likes ». Un autre canal ciblait les utilisateurs de cryptomonnaies, les redirigeant vers des pages de phishing dissimulées sur Google Sites, conçues pour voler leurs identifiants grâce au logiciel Rhadamanthys Stealer.
Les attaquants mettaient régulièrement à jour les liens et les charges utiles, assurant ainsi la persistance de l’infection même après la suppression partielle des contenus malveillants. Check Point Research a suivi cette activité pendant plus d’un an, cartographiant des milliers de comptes et de campagnes interconnectés avant de signaler les contenus à Google.
Pour se protéger contre ce type d’attaque, les experts recommandent de ne télécharger des logiciels que depuis des sources officielles, de ne jamais désactiver la protection antivirus à la demande d’un installateur et de faire preuve de scepticisme face aux vidéos proposant des logiciels « gratuits » ou des astuces.
Pour aller plus loin
