Malware pencuri informasi baru bernama YTStealer menargetkan pembuat konten YouTube dan mencoba mencuri token autentikasi mereka dan membajak saluran mereka.
Menurut sebuah laporan yang diterbitkan hari ini oleh Intezer, fokus pada satu tujuan telah memberi penulis YTStealer kemampuan untuk membuat operasi pencurian tokennya menjadi sangat efektif, menggabungkan trik khusus yang canggih.
Karena malware YTStealer menargetkan pembuat konten YouTube, sebagian besar distribusinya menggunakan perangkat lunak yang meniru umpan yang mengedit video atau bertindak sebagai konten untuk video baru.
Contoh perangkat lunak tiruan yang berisi penginstal YTStealer berbahaya termasuk OBS Studio, Adobe Premiere Pro, FL Studio, Ableton Live, Antares Auto-Tune Pro, dan Filmora.
Dalam kasus lain yang menargetkan pembuat konten game, YTStealer meniru mod untuk Grand Theft Auto V, cheat untuk Counter-Strike Go dan Call of Duty, game Valorant, atau peretasan untuk Roblox.
Para peneliti juga melihat celah dan generator token untuk Discord Nitro dan Spotify Premium yang membawa malware baru.
Menurut Intezer, YTStealer biasanya dibundel dengan pencuri informasi lainnya seperti RedLine dan Vidar yang terkenal. Dengan demikian, sebagian besar diperlakukan sebagai “bonus” khusus yang dijatuhkan bersama malware yang menargetkan pencurian kata sandi dari cakupan perangkat lunak yang lebih luas.
Malware YTStealer menjalankan beberapa pemeriksaan anti-kotak pasir sebelum dijalankan di host, menggunakan alat Chacal sumber terbuka untuk tujuan ini.
Jika mesin yang terinfeksi dianggap sebagai target yang valid, malware akan memeriksa file database SQL browser untuk menemukan token autentikasi YouTube.
Selanjutnya, ia memvalidasinya dengan meluncurkan browser web dalam mode tanpa kepala dan menambahkan cookie yang dicuri ke tokonya. Jika valid, YTStealer juga mengumpulkan informasi tambahan seperti:
- Nama saluran YouTube
- Jumlah pelanggan
- Tanggal pembuatan
- Status monetisasi
- Status saluran artis resmi
Meluncurkan browser web dalam mode tanpa kepala membuat seluruh operasi tersembunyi bagi korban, yang tidak akan melihat sesuatu yang aneh kecuali mereka meneliti proses yang sedang berjalan.
Untuk mengontrol browser, YTStealer menggunakan perpustakaan yang disebut Rod, sebuah utilitas yang banyak digunakan untuk otomatisasi web dan scraping. Oleh karena itu, pemusnahan informasi saluran YouTube terjadi tanpa intervensi manual dari pelaku ancaman.
YTStealer sepenuhnya otomatis dan tidak membedakan antara akun YouTube kecil atau besar, mencuri semuanya dan membiarkan operatornya mengevaluasi tangkapan mereka nanti.
Intezer percaya bahwa akun YouTube yang dicuri dijual di web gelap, dengan harga tergantung pada ukuran saluran. Jelas, semakin besar dan lebih berpengaruh saluran YouTube, semakin mahal untuk membeli di pasar web gelap.
Pembeli akun tersebut biasanya menggunakan cookie otentikasi curian ini untuk membajak saluran YouTube untuk berbagai penipuan, biasanya cryptocurrency, atau meminta uang tebusan dari pemilik sebenarnya.
Ini sangat berbahaya bagi pembuat konten YouTube karena meskipun akun mereka aman dengan autentikasi multi-faktor, token autentikasi akan melewati MFA dan memungkinkan pelaku ancaman untuk masuk ke akun mereka.
Oleh karena itu, kreator YouTube disarankan untuk keluar dari akunnya secara berkala untuk membatalkan semua token autentikasi yang mungkin telah dibuat atau dicuri sebelumnya.
Sumber: Bleeping Computer
