YouTube doelwit van malware die paswoorden steelt

Een gigantische malwarecampagne probeert sinds zeker eind 2019 de kanalen van videomakers op YouTube over te nemen, om op die manier crypto-scams te verspreiden.

Google zegt dat videomakers op YouTube steeds vaker doelwit worden van cyberbendes. De groepen zouden via phishing proberen wachtwoorden te stelen, om zo de kanalen van de makers te gebruiken voor het verspreiden van crypto-scams.

De melding komt van Google’s Threat Analysis Group, die eind 2019 de eerste vormen van de campagne tegenkwam op Russische fora. In zijn rapport doet Google de methodologie uit de doeken. De campagne begint via phishing, waarbij de videomaker mails krijgt die van hen bijvoorbeeld sponsordeals voor een VPN-dienst voorstelt. Door het product te downloaden, krijgt de influencer echter een hoop malware binnen.

In totaal zouden meer dan duizend domeinen gelinkt zijn aan de aanvallen, met zo’n 15.000 accounts die gemaakt werden voor de campagnes. Die domeinen doen zich dan voor als Cisco, makers van Steam Games of mediabedrijven.

Tweestapsverificatie

Nog opvallend: de malware steelt niet alleen wachtwoorden, maar ook de ‘session cookies’ die nodig zijn voor meerstapsverificatie, zodat een misdadiger de account van de YouTuber kan overnemen. Een en ander heeft te maken met de opkomst van tweestapsverificatie, schrijft Ashley Shen, TAG security ingenieur in een blogpost: ‘Het merendeel van de malware die we vonden was in staat om zowel wachtwoorden als cookies te stelen. Enkele van de monsters gebruikten verschillende technieken om sandboxes te omzeilen, waaronder grote bestanden, versleutelde archieven en het verbergen van download IP’s.’

Een groot deel van die overgenomen kanalen werd ingezet voor allerlei frauduleuze cryptocampagnes waarbij er bijvoorbeeld cryptomunten werden ‘weggegeven’. Anderen werden verkocht op de zwarte markt.

Op zich is het niet nieuw dat phishing gebruikt wordt om te proberen accounts of kanalen over te nemen. Vorig jaar zagen we dat bijvoorbeeld nog met de hacks van verschillende Twittter-accounts van prominenten, die vervolgens ook crypto-scams begonnen te verspreiden. De campagne op YouTube is echter bijzonder groot, en van lange duur. Volgens Google zelf zijn de securityteams ondertussen druk bezig aan het tegengaan van die scams. Zo’n 99,6% van de phishing mails op Gmail die aan dit soort aanvallen is gelinkt, zou sinds mei van dit jaar zijn tegengehouden.