Google șterge 3.000 de videoclipuri YouTube care ascundeau malware în „programe sparte” și hack-uri false

Google a eliminat de pe YouTube peste 3.000 de videoclipuri care răspândeau malware de tip infostealer mascat sub forma unor tutoriale video despre cum să obții gratuit programe populare precum Photoshop, FL Studio sau „hack-uri” pentru Roblox.

Descoperirea aparține experților în securitate cibernetică de la Check Point Research, care au investigat o rețea de amploare numită „YouTube Ghost Network”. Potrivit raportului, această rețea activa din 2021, dar și-a intensificat masiv activitatea în 2025, când numărul clipurilor malițioase s-a triplat față de anii precedenți.

Operațiunea a fost descrisă ca una dintre cele mai complexe campanii de distribuire a malware-ului descoperite vreodată pe YouTube. Spre deosebire de atacurile clasice bazate pe e-mailuri de tip phishing, această rețea s-a infiltrat direct în ecosistemul de încredere al platformei video: conturi reale, interacțiuni autentice, reacții și comentarii pozitive.

Atacatorii au preluat controlul unor conturi legitime de YouTube, pe care le-au transformat în instrumente de propagare a fișierelor infectate. Pe lângă clipurile care promiteau software „gratuit”, alte conturi adăugau mii de comentarii false și reacții pozitive, pentru a crea impresia că tutorialele sunt sigure și eficiente.

Cerere de căsătorie surpriză la „Mireasa”. Un cuplu contestat s-a logodit, după câteva săptămâni de relație: „Promit că o să încerc să te fac fericit”

Horoscop 5 decembrie 2025. O zodie primește o nouă șansă, norocul e de partea ei

„Această operațiune a exploatat semnalele de încredere ale platformei – like-uri, vizualizări și comentarii – pentru a face conținutul periculos să pară inofensiv”, a explicat Eli Smadja, manager al grupului de cercetare Check Point. „Ce pare un simplu tutorial video este, de fapt, o capcană digitală atent construită.”

Cum funcționa rețeaua „Ghost Network”

Potrivit raportului Check Point, rețeaua a funcționat pe baza unui sistem modular, alcătuit din trei tipuri de conturi:

1. Uploaders – postau videoclipuri „educaționale” despre cum să instalezi gratuit programe comerciale sau „hack-uri” pentru jocuri;
2. Comentatori – umpleau secțiunile de comentarii cu aprecieri false, emoji-uri și mesaje pozitive („Merge perfect!”, „Am descărcat și funcționează!”);
3. Distribuitori – postau linkuri către fișiere infectate și parole pentru arhive, folosind postări în comunitate sau descrierile clipurilor.

Instrucțiunile din videoclipuri erau similare: utilizatorii erau rugați să dezactiveze antivirusul, să descarce un fișier comprimat de pe platforme aparent sigure (Dropbox, Google Drive, MediaFire) și să urmeze pașii din tutorial. În realitate, acele arhive conțineau malware-uri precum Rhadamanthys și Lumma, special concepute pentru a fura parole, portofele de criptomonede și date de sistem.

Un exemplu notoriu descoperit de cercetători este un canal deturnat cu 129.000 de abonați, care a publicat un clip despre o versiune „crack-uită” de Adobe Photoshop. Videoclipul a acumulat aproape 300.000 de vizualizări și peste 1.000 de aprecieri, înainte de a fi eliminat.

Alt caz viza direct utilizatorii interesați de criptomonede, redirecționându-i către pagini de phishing găzduite pe Google Sites, unde datele de autentificare erau colectate și transmise către serverele atacatorilor.

Rețeaua a fost extrem de adaptabilă. Atacatorii schimbau constant linkurile și actualizau fișierele pentru a evita detectarea, ceea ce le permitea să reapară rapid chiar și după suspendarea conturilor. Practic, „Ghost Network” funcționa ca un organism viu, capabil să se regenereze imediat.

De la jocuri „crackuite” la furt de date: un fenomen care redefinește atacurile online

Deși multe dintre videoclipuri promiteau versiuni piratate ale unor programe de editare sau pachete Office, cel mai mare interes a fost observat în jurul jocurilor online, în special Roblox, platformă cu peste 380 de milioane de utilizatori activi lunar.

Videoclipurile cu titluri precum „Cum să obții Robux gratuit” sau „Hack-uri pentru Roblox 2025” erau printre cele mai vizualizate și serveau drept portițe pentru malware. Alte clipuri vizau Microsoft Office, Lightroom, Adobe Premiere sau chiar instrumente de producție muzicală precum FL Studio, exploatând dorința utilizatorilor de a evita plata licențelor.

Ceea ce face campania „Ghost Network” atât de periculoasă este faptul că exploatează încrederea și familiaritatea. Spre deosebire de un e-mail suspect, un videoclip cu mii de vizualizări, like-uri și comentarii pare de încredere. Această „arma a engagement-ului” – cum o numesc specialiștii – este o strategie tot mai des întâlnită în atacurile cibernetice moderne.

„În peisajul actual al amenințărilor, un videoclip popular poate fi la fel de periculos ca un e-mail de phishing”, avertizează Smadja. „Faptul că rețelele de socializare și platformele video pot fi transformate în canale de atac arată că nici platformele de încredere nu sunt imune.”

Check Point subliniază că, deși nu există dovezi clare despre originea rețelei, motivația principală pare financiară. Grupurile din spatele ei au obținut profituri semnificative din furtul de date, conturi de jocuri, criptomonede și informații bancare. Totuși, cercetătorii nu exclud ca aceeași infrastructură să poată fi folosită, în viitor, de grupări sponsorizate de state, pentru atacuri direcționate asupra unor ținte strategice.

YouTube, un câmp de luptă invizibil între securitate și manipulare

Colaborarea dintre Google și Check Point a dus, în cele din urmă, la eliminarea completă a celor 3.000 de videoclipuri infectate, dar experții avertizează că lupta este departe de a fi câștigată. Într-o lume digitală dominată de conținut video și de algoritmi de recomandare, engagement-ul devine nu doar o unitate de măsură a popularității, ci și o armă cibernetică.

Trecerea atacatorilor de la metodele tradiționale – e-mailuri, linkuri false, site-uri compromise – la platforme populare precum YouTube arată o evoluție majoră a criminalității cibernetice. În loc să exploateze vulnerabilități tehnice, atacatorii manipulează comportamentul și încrederea oamenilor.

Rețeaua „Ghost Network” este un avertisment clar că platformele sociale pot fi infiltrate și transformate în instrumente de atac, iar utilizatorii trebuie să trateze cu aceeași prudență și un tutorial video, și un e-mail necunoscut.

Chiar dacă „fantomele” au fost exorcizate, cum spun cercetătorii de la Check Point, următorul val de atacuri ar putea fi deja în pregătire. Într-o eră în care engagement-ul decide succesul unui conținut, click-ul greșit poate fi mai periculos decât oricând.