Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công quy mô lớn mang tên ‘YouTube Ghost Network’, lợi dụng các tài khoản YouTube bị hack để đăng tải hàng nghìn video về cracked software và game cheat. Mục tiêu của mạng lưới này là dụ dỗ người dùng tải về các loại malware đánh cắp thông tin nguy hiểm như Lumma Stealer và Rhadamanthys Stealer.
Mạng lưới này được đặt tên mã là YouTube Ghost Network và đã hoạt động ít nhất từ năm 2021. Đến nay, mạng lưới này đã xuất bản hơn 3.000 video độc hại, với số lượng tăng gấp ba lần kể từ đầu năm 2025. Google đã can thiệp và gỡ bỏ phần lớn các video này sau khi nhận được báo cáo.
Chiến dịch này chủ yếu tận dụng các tài khoản YouTube bị hacked, sau đó thay thế nội dung của họ bằng các video quảng cáo xoay quanh cracked software như Adobe Photoshop, Microsoft Office và các game cheat đặc biệt là Roblox. Mục tiêu là lây nhiễm malware cho những người dùng không nghi ngờ khi tìm kiếm các nội dung này. Một số video đã thu hút hàng trăm nghìn lượt xem, dao động từ 147.000 đến 293.000.
Theo nhà nghiên cứu Antonis Terefos, điểm tinh vi của mạng lưới này nằm ở role-based structure. Các tài khoản bị xâm nhập được gán các vai trò cụ thể:
- Video-accounts: Chuyên tải lên các video lừa đảo, đính kèm link tải phần mềm trong mô tả, bình luận ghim hoặc hiển thị trực tiếp trong video.
- Post-accounts: Chịu trách nhiệm đăng các community post chứa link độc hại.
- Interact-accounts: Các tài khoản này liên tục like và đăng bình luận tích cực để tạo vỏ bọc đáng tin cậy cho video.
Cấu trúc này giúp mạng lưới duy trì hoạt động liên tục, ngay cả khi một số tài khoản bị cấm, chúng có thể nhanh chóng được thay thế mà không làm gián đoạn toàn bộ chiến dịch.
Các đường link thường trỏ đến các dịch vụ lưu trữ hợp pháp như MediaFire, Dropbox, Google Drive hoặc các trang phishing được tạo trên Google Sites, Blogger. Thông thường, chúng sử dụng dịch vụ rút gọn URL để che giấu đích đến cuối cùng. Các loại malware chính được phát tán bao gồm Lumma Stealer, Rhadamanthys Stealer, StealC Stealer, RedLine Stealer và Phemedrone Stealer. Ví dụ, kênh @Afonesio1 (129.000 subscribers) đã bị dùng để phát tán bản crack Adobe Photoshop chứa Hijack Loader, sau đó cài đặt Rhadamanthys.
Nhóm nghiên cứu bảo mật nhận định: “Chiến dịch này đã lợi dụng các tín hiệu tin cậy như views, likes, comments để khiến nội dung độc hại trông có vẻ an toàn”. Đây là một phần của xu hướng rộng lớn hơn, nơi tin tặc vũ khí hóa các nền tảng hợp pháp. Tương tự như Stargazers Ghost Network trên GitHub, các Ghost Network này tận dụng sự tin tưởng và cơ chế tương tác của nền tảng để thực hiện các chiến dịch malware quy mô lớn, tinh vi và dai dẳng.
