Publié le 24 octobre 2025 16:55:00. Un vaste réseau de comptes YouTube compromis, surnommé « Ghost Network », diffuse massivement des vidéos piégées pour inciter au téléchargement de logiciels malveillants, exploitant la popularité des contenus piratés et des jeux en ligne.
- Plus de 3 000 vidéos malveillantes ont été identifiées, avec une multiplication par trois du volume depuis le début de l’année 2023.
- Les cybercriminels exploitent des comptes YouTube piratés et manipulent les indicateurs de confiance (vues, likes, commentaires) pour tromper les utilisateurs.
- Des logiciels malveillants tels que Lumma Stealer, Rhadamanthys Stealer et RedLine Stealer sont distribués via des liens dissimulés dans les descriptions des vidéos.
Depuis 2021, un réseau malveillant baptisé « Ghost Network » sévit sur YouTube. Il est composé de comptes compromis utilisés pour diffuser et promouvoir plus de 3 000 vidéos piégées, dont le but est d’inciter les internautes à télécharger des logiciels malveillants. Selon un rapport de Check Point, le nombre de ces vidéos a triplé depuis le début de l’année 2023, certaines atteignant entre 147 000 et 293 000 vues. Les attaquants profitent de l’attrait pour les logiciels piratés et les astuces concernant des jeux populaires comme Roblox.
La stratégie employée repose sur la compromission de comptes YouTube existants, dont le contenu original est remplacé par des vidéos malveillantes. Cette méthode vise à exploiter la confiance des utilisateurs à la recherche de tutoriels ou de logiciels gratuits. Les cybercriminels manipulent les indicateurs de confiance de la plateforme – vues, likes et commentaires – pour donner une apparence légitime à leurs contenus malveillants.
« Ce qui semble être un tutoriel utile peut être un véritable piège informatique bien conçu. »
Eli Smadja, responsable du groupe de recherche sur la sécurité chez Check Point
La distribution des logiciels malveillants s’appuie sur des services de stockage en ligne légitimes tels que MediaFire et Dropbox, ainsi que sur des liens raccourcis dissimulant leur véritable destination. La plupart de ces liens redirigent vers des pages de phishing ou vers d’autres plateformes hébergeant des fichiers malveillants. Parmi les familles de logiciels malveillants distribuées par ce réseau figurent Lumma Stealer, Rhadamanthys Stealer et RedLine Stealer.
Les chercheurs de Check Point soulignent que cette activité s’inscrit dans une tendance plus large : celle de l’utilisation de plateformes légitimes à des fins malveillantes, facilitant ainsi la propagation de logiciels malveillants. L’exploitation des fonctionnalités propres à ces plateformes, telles que les vidéos et leurs descriptions, permet non seulement de maximiser l’impact de la campagne, mais aussi de maintenir une certaine continuité opérationnelle, même lorsque les comptes sont supprimés par les équipes de modération.