Trong một phân tích vào ngày 08/01/2024, nhà nghiên cứu Cara Lin của hãng bảo mật Fortinet (Mỹ) cho biết: “Những video trên YouTube này thường có nội dung liên quan đến các ứng dụng bị bẻ khóa, cung cấp cho người dùng hướng dẫn cài đặt tương tự và kết hợp các URL độc hại thường được rút ngắn bằng các dịch vụ như TinyURL và Cuttly”.

Để vượt qua danh sách đen bộ lọc web đơn giản, những kẻ tấn công đã khai thác các nền tảng nguồn mở như GitHub và MediaFire, thay vì triển khai các máy chủ độc hại của chúng. Trong trường hợp này, các liên kết được chia sẻ sẽ dẫn đến việc tải xuống trực tiếp một trình tải .NET chịu trách nhiệm tìm nạp phần mềm độc hại Lumma Stealer.

Đây không phải là lần đầu tiên các video phần mềm vi phạm bản quyền trên YouTube nổi lên như một mồi nhử hiệu quả cho việc tải phần mềm đánh cắp thông tin. Vào tháng 4/2023, công ty an ninh mạng Morphisec (Israel) đã phát hiện các chuỗi tấn công tương tự cung cấp phần mềm độc hại và khai thác tiền điện tử có tên là Aurora Stealer. Khi người dùng tải xuống các video độc hại, các tác tin tặc có thể lợi dụng các máy tính bị xâm nhập để không chỉ đánh cắp thông tin và tiền điện tử mà còn lạm dụng tài nguyên để khai thác bất hợp pháp.

Trong chuỗi tấn công mới nhất được Fortinet ghi lại, người dùng đang tìm kiếm phiên bản bẻ khóa của các công cụ chỉnh sửa video hợp pháp như Vegas Pro trên YouTube sẽ được nhắc nhấp vào liên kết nằm trong mô tả của video, dẫn đến việc tải xuống trình cài đặt không có thật được lưu trữ trên MediaFire.

Hình 1. Luồng tấn công lừa người dùng tải Luma Stealer

Ban đầu, tin tặc xâm nhập tài khoản của YouTuber và tải lên các video giả mạo chia sẻ phần mềm bẻ khóa. Hình 2 hiển thị mô tả video trong đó có một URL độc hại được nhúng, dụ dỗ người dùng tải xuống tệp ZIP chứa nội dung độc hại cho giai đoạn tấn công tiếp theo.

Hình 2. Kênh YouTube hướng dẫn cài đặt phần mềm giả mạo

Lumma Stealer là một loại phần mềm độc hại có thể đánh cắp thông tin nhạy cảm từ máy tính của người dùng. Nó có thể nhắm mục tiêu dữ liệu hệ thống, trình duyệt, ví tiền điện tử và tiện ích mở rộng trình duyệt. Phần mềm độc hại này được viết bằng ngôn ngữ C và được rao bán trên các diễn đàn ngầm. Để tránh bị phát hiện và phân tích, Lumma Stealer sử dụng các kỹ thuật che giấu đa dạng, đồng thời thiết lập liên lạc với máy chủ chỉ huy và điều khiển (C2), tạo điều kiện thuận lợi cho việc trao đổi hướng dẫn và truyền dữ liệu bị đánh cắp.

Chiến dịch này diễn ra khi hãng bảo mật Bitdefender (Rumani) cảnh báo về các cuộc tấn công mạng trên YouTube, trong đó tin tặc chiếm đoạt các tài khoản cao cấp thông qua các cuộc tấn công lừa đảo triển khai phần mềm độc hại RedLine Stealer để lấy thông tin xác thực và cookie phiên của họ, cuối cùng thúc đẩy các trò lừa đảo tiền điện tử khác nhau.