Un grupo está utilizando canales de YouTube y técnicas de manipulación de motores de búsqueda (SEO) para engañar a los usuarios. A través de videos de juegos y búsquedas comunes, dirigen a las víctimas hacia instaladores que aparentan ser software útil, herramientas de juegos o mejoras de rendimiento, pero que en realidad instalan malware. Esta operación, denominada CL-CRI-1171, funciona bajo un modelo de pago por instalación, facilitando así el acceso de otros criminales a los sistemas comprometidos.

Eestán convirtiendo las búsquedas ordinarias y los vídeos de juegos en trampas de malware. Una campaña prolongada utilizó canales de YouTube y la manipulación de motores de búsqueda para dirigir a las víctimas hacia instaladores que parecían software útil, herramientas de juegos o correcciones de rendimiento.

La actividad está vinculada a una operación de pago por instalación conocida como CL-CRI-1171. Este modelo ofrece a otros criminales una ruta hacia máquinas comprometidas, permitiendo que malware no relacionado llegue a través de la misma descarga aparentemente inofensiva.

Analistas de Unit 42 identificaron la operación tras investigar dos infecciones de baja prioridad en organizaciones distintas. Sus hallazgos muestran cómo un cargador que se asemeja al adware rutinario puede ocultar un servicio de entrega mucho más amplio, alcanzando a jugadores y puntos finales corporativos o gubernamentales.

La escala es una preocupación central. Los investigadores encontraron más de 10,000 muestras distintas del componente compartido OfferLoader y 11 canales de YouTube conectados con audiencias masivas antes de que los canales fueran eliminados.

Palo Alto Networks dijo en un informe que las infecciones visibles son solo una pequeña parte de la tubería.

Abusan de los canales de juegos de YouTube y el envenenamiento de SEO

La campaña utilizó dos señuelos diferentes que alimentaban la misma infraestructura. Los canales de juegos publicaban consejos reales sobre cómo mejorar la tasa de fotogramas, solucionar errores y cambiar la configuración, y luego animaban a los espectadores a descargar una supuesta herramienta o paquete de optimización desde enlaces en las descripciones de los vídeos.

Esos enlaces a menudo pasaban por páginas de Blogspot que redirigían a las víctimas. El enfoque sigue un patrón familiar visto en las campañas de entrega de malware de YouTube, donde canales con apariencia establecida prestan credibilidad a descargas riesgosas y ocultan el destino real detrás de varios pasos.

En paralelo, el envenenamiento de la optimización de motores de búsqueda, o SEO, se dirigió a personas que buscaban utilidades legítimas. Una víctima podría buscar un controlador de Bluetooth o WinDirStat, hacer clic en un resultado y aterrizar en una página falsa de alojamiento de archivos que muestra una animación de escaneo de virus antes de proporcionar un archivo trojanizado.

La puerta de enlace de la campaña inspeccionaba un identificador de clic reciente con detalles del dispositivo, navegador, búsqueda, referente e IP. Los visitantes genuinos recibían el instalador, mientras que los escáneres automatizados y los investigadores a menudo veían un imitador inofensivo de WinRAR o un enlace roto.

Trampas similares de descarga de software mediante envenenamiento de SEO muestran por qué el ranking de búsqueda no es prueba de que una descarga sea genuina. OfferLoader utilizó un instalador de Inno Setup trojanizado para iniciar las siguientes etapas.

Después de una verificación de seguimiento, lanzó tres procesos hijos para operaciones de malware separadas. Esto permitió al operador vender una sola infección a varios compradores e intercambiar la carga útil sin tener que reconstruir el señuelo.

RATs y Secuestrador de Chrome

Una rama desplegó Insomnia RAT, una puerta trasera dual de Node.js y Python para Windows y macOS. Su instalador desactivó las protecciones de Microsoft Defender, añadió todo el disco C: a la lista de exclusiones y creó tareas programadas para lograr persistencia.

La puerta trasera puede recopilar identificadores del sistema, recibir comandos, descargar archivos y reportar resultados a sus controladores. Una segunda rama instaló ARKTunnel, una herramienta de acceso remoto no documentada que ocultaba su carga útil dentro de una imagen de mapa de bits.

Creó un servicio de Windows de inicio retardado y podía tunelizar tráfico TCP o UDP y ejecutar archivos. Ocultar los datos en una imagen hizo que la carga útil final fuera menos obvia en revisiones rápidas.

La tercera rama, Docro Hijacker, alteró las preferencias protegidas de Chrome con firmas de integridad válidas. Cambió el proveedor de búsqueda predeterminado y cargó lateralmente una extensión de navegador que podía reescribir solicitudes, inyectar material en las páginas de resultados de búsqueda, alterar enlaces de afiliados y redirigir clics.

El riesgo se asemeja al abuso de extensiones maliciosas de Chrome, donde la navegación confiable es remodelada silenciosamente para el fraude o la recopilación de datos. La lección práctica es que trates los instaladores inesperados como un incidente potencial, no como una molestia menor.

Tú deberías descargar aplicaciones solo desde sitios de editores verificados, evitar cracks y trampas de juegos, y comprobar el editor y la firma de un archivo antes de ejecutarlo.

Las organizaciones deberían investigar cadenas de instaladores sospechosas, tareas programadas inesperadas, nuevos servicios, cambios en las preferencias del navegador y conexiones de red a dominios desconocidos.

Los equipos que respondan a un presunto compromiso deberían aislar el dispositivo, preservar la evidencia, restablecer las credenciales expuestas desde un sistema limpio y realizar una revisión completa antes de volver a ponerlo en uso.