Hacker explica como canais do Youtube estão sendo roubados

A engenharia social é a principal arma do ataque, sendo muito mais importante do que o malware em si.

Siga no

Recentemente uma série de ataques de grande escalão atingiram grandes canais do YouTube brasileiro, como exemplo o Zangado, um canal de mais de 11 anos e um dos maiores no nicho de jogos, e o canal Ei Nerd, do Peter Jordan, com mais de 10,8 milhões de inscritos. O problema está chamando a atenção de vários youtubers de diferentes tamanhos, justamente por causa do risco de perderem o canal para o tal golpe.

O” hacker ético” Gabriel Pato publicou uma análise do malware que pode ter sido utilizado para atacar os canais. Gabriel explicou um pouco sobre o funcionamento (até que simples) do vírus, qual a sua origem, tipos de informações que ele rouba e quais estratégias foram utilizadas para infectar os YouTubers.

Vale mencionar que os ataques por malware não são algo isolado ou até mesmo novo, já que o ataque já aconteceu inúmeras vezes e até mesmo gerou problemas judiciais para o YouTube.

Assim como aconteceu com canais do YouTube no exterior ou até mesmo em exemplos passados aqui no Brasil, o principal motivo dos ataques é utilizar os canais como uma ponte entre os inscritos e um clássico golpe que rouba criptomoedas.

Ataque hacker demonstra conhecimento e sofisticação

Um dos pontos mais interessantes dos ataques é que ele é todo feito através de uma tática de phishing com um certo nível de sofisticação. A primeira onda de golpes, que acabou levando alguns canais de médio porte, focou no nicho de jogos, justamente para dar mais credibilidade a tática e toda a conversa que levava ao ataque final.

Diferente da maioria dos ataques de phishing que acontecem na internet, onde milhões de mensagens são enviadas para usuários, na esperança de que alguém cometa um erro, os hackers do YouTube possuem uma estratégia segmentada e direta.

Até recentemente eles procuraram canais de jogos, se passando por desenvolvedora de jogas independentes e oferecendo chaves de teste e oportunidade de publicidade paga. Bruno Correa, YouTuber de 7,15 milhões de inscritos, contou em seu canal como alguém se passando pela desenvolvedora Slormite tentou aplicar o golpe nele.

No vídeo ele também fala que em 1 semana, três tentativas de golpes foram aplicados. Todos se passando por desenvolvedoras independentes. Em um dos e-mails, se passando pela desenvolvedora de Spelunky 2, a “empresa” ofereceu a quantia de US$ 9.500 dólares pela produção do vídeo, além da chave do jogo.

Trecho do vídeo do YouTube mostrando a oferta de US$ 9.500 incentivar o criador de conteúdo a aceitar a proposta “maravilhosa”

O problema se tornou algo tão comum que até mesmo desenvolvedoras independentes começaram a alertar aos jogadores e criadores de conteúdo sobre o risco de golpes e o uso de e-mails falsos usados pelos golpistas.

A engenharia social é a principal arma do ataque, sendo muito mais importante do que o malware em si. E uma das principais estratégias para o sucesso do grupo são o uso de e-mails com domínios de phishing e até mesmo uma linguagem compatível com as atividades padrões do YouTube.

E-mails falsos e linguagem de alto nível fazem parte do golpe dos hack do YouTube

O golpe começa com o contato por e-mail ou por whatsapp e diferente de golpes mais simples, a linguagem está muito similar com o tipo de conversa que acontece entre criadores de conteúdo e desenvolvedoras.

Há menções sobre o embargo (período em que nenhuma informação sobre o jogo pode ser divulgado) e vários outros termos que, até para quem já está acostumado com esse nicho, dão credibilidade para toda a conversação.

Arquivo PDF falando das regras para “receber a chave” do Cyberpunk 2077. O link de “Download” instala o malware que rouba dados.

Em um vídeo explicando o que aconteceu com o seu canal e como ele foi hackeado, Zangado revelou que foi exatamente esse PDF que o induziu ao erro e causou danos graves ao seu canal (que agora já foi recuperado).

O interessante são os e-mails utilizados pelos golpistas. Anteriormente eles usavam o domínio @gmail.com, mas para aumentar ainda a possibilidade de enganar os criadores de conteúdo, recentemente eles passaram a comprar domínios próprios.

No caso do vírus que roubou o canal do Zangado, o e-mail foi enviado através do endereço com domínio @cyberpunk2077.icu. Outros criadores receberam o contato de @cdprojektred.media. 

Como é possível ver no site oficial da CD Projekt Red, o e-mail oficial da empresa é @cdprojekt.com

hack youtube

Como é possível notar, a semelhança é o suficiente para enganar pessoas que não estão muito atentas ao que está acontecendo.

Como funciona o malware que derrubou o canal do Zangado?

De acordo com a investigação realizada por Gabriel Pato, o malware que fui utilizado nos ataques recentes é conhecido como RedLine, uma aplicação russa muito conhecida no meio cibernético e amplamente vendida em fóruns hackers.

O RedLine atua como um “stealer”, quase que uma evolução do keylogger. O termo “stealer”, que nada mais é do que “ladrão” em inglês, é especializado em roubos de diferentes informações, ele pode ser adaptado para diferentes campanhas.

Ele pode ser encontrado em fóruns russos por cerca de $ 200 dólares por mês (plano de assinatura). Entre as suas funcionalidades, ele pode roubar senhas e dados salvos em navegadores, números e senhas de cartões de crédito, informações sobre o sistema e o usuário e recentemente ele foi atualizado para também roubar carteiras de criptomoeda.

hack youtube
Um anúncio de venda do RedLine mostrando todas as suas funcionalidades.

Voltando à investigação de Gabriel Pato, ele descobriu com qual servidor que o vírus se comunica uma vez que ele está instalado na máquina da vítima.

hack youtube
Servidor de controle do vírus. Fonte: Gabriel Pato/YouTube

Ao analisar o malware, Pato determinou que ele não utiliza totalmente as suas funções nos computadores infectados. O RedLine está programado apenas para buscar e roubar dados do navegador (cookies, senhas salvas, localização, etc.), além de fazer uma captura de tela do usuário.

Para piorar, o Vírus possui uma série de barreiras e recursos para evitar análises simples de antivírus. O Windows Defender e até mesmo outros analisadores não são capazes de determinar que há algo errado dentro do arquivo baixado.

Todos esses dados são compilados em um único arquivo e é enviado diretamente para o servidor de controle indicado logo acima. Mas porque os hackers têm interesse nesses dados?

Bom, a resposta é simples, as informações mais importantes para esse vírus é justamente os dados de cachê do navegador e os cookies.

Vírus dos hackers do YouTube consegue passar pela autenticação de dois fatores

Durante os ataques, muitos questionaram se os YouTubers não estavam utilizando a autenticação de dois fatores (2FA) para se proteger. O problema é que como o RedLine atua, ele consegue passar pela autenticação de dois fatores, isso porque ele não rouba apenas a senha, mas também os dados de cookies e cachê que podem permitir que o hacker simule ser a mesma pessoa.

Como o 2FA é usado para novos logins e o RedLine rouba os dados onde os logins já foram feitos e autenticados, não há o pedido de uma nova autenticação. Com poucos minutos o hacker consegue trocar todas as senhas que ele quiser, sem que tenha qualquer tipo de barreira.

Vírus pode começar uma campanha contra canais de maquiagem

Também através da sua investigação, Gabriel Pato descobriu que um dos domínios (cyberpunk2077.icu) estava registrado em um outro e-mail: katemiller8428@gmail.com, provavelmente um e-mail falso ou então roubado de alguém para registrar os domínios para o golpe. Mas o que ele notou é que recentemente novos domínios foram registrados, todos se passando por marcas de maquiagem:

  • avon-company.site
  • marykay-promo.sites
  • maybelline.space
  • mkglobal.site
  • marykayglobal.site

Lista de novos domínios descoberta por Gabriel Pato em sua excelente pesquisa sobre o vírus.

Com isso, há uma grande probabilidade de que a próxima onda de golpes mire nos influenciadores e criadores de conteúdo que falam da maquiagem e possam ter contato com essas empresas.

E no final das contas, porque estão hackeando canais do YouTube?

Um novo jogo foi lançado, o Cyberpunk 2077, então os donos de canais sobre jogos se tornaram alvos dos hackers. A tática é engenharia social, oferecer alguma parceria e pedir aos donos dos canais para instalar um software, no caso, o vírus.

O propósito do golpe é aplicar um segundo golpe, dessa vez com criptomoedas através do clássico “mande x Bitcoins e enviaremos o dobro”, algo que nunca acontece, claro.

Os canais roubados tem o nome trocado e exibem lives infinitas com essas promessas de Bitcoin de graça para quem enviar uma quantidade de moedas para uma determinada carteira.

Não se sabe se quem está roubando as contas é a mesma pessoa que aplica o golpe do Bitcoin ou se eles vendem o acesso desses canais no Mercado negro para quem tem interesse em aplicar esse tipo de estratégia.

Matheus Henrique
Matheus Henrique
Fã do Bitcoin e defensor de um futuro descentralizado. Cursou Ciência da Computação, formado em Técnico de Computação e nunca deixou de acompanhar as novas tecnologias disponíveis no mercado. Interessado no Bitcoin, na blockchain e nos avanços da descentralização e seus casos de uso.
Atlas Quantum

Cliente da Atlas Quantum pode perder R$ 160 mil com decisão judicial

Um cliente da empresa Atlas Quantum, que prometia rendimentos com Bitcoin no Brasil, pode perder R$ 160 mil com uma decisão judicial favorável a...
Janet Yellen no FED dos Estados Unidos Tesouro Joe Biden

Chefe do Tesouro de Joe Biden preocupada com criptomoedas

Janet Yellen está dando o que falar nas redes sociais, principalmente na comunidade das criptomoedas. Nomeada como Secretária do Tesouro dos Estados Unidos por...
Carteira de Bitcoin e criptomoedas Exodus

IPO de carteira de Bitcoin espera captar R$ 270 milhões

A popular carteira de criptomoedas Exodos está analisando a realização de uma Oferta Pública Inicial (IPO). Conhecida como uma das principais carteiras do mercado,...

Cotações por TradingView

Últimas notícias

Chefe do Tesouro de Joe Biden preocupada com criptomoedas

Janet Yellen está dando o que falar nas redes sociais, principalmente na comunidade das criptomoedas. Nomeada como Secretária do Tesouro dos Estados Unidos por...

IPO de carteira de Bitcoin espera captar R$ 270 milhões

A popular carteira de criptomoedas Exodos está analisando a realização de uma Oferta Pública Inicial (IPO). Conhecida como uma das principais carteiras do mercado,...

Inteligência artificial diz que o Bitcoin tem um “futuro brilhante”

“Compre Bitcoin aos poucos”, esse é um conselho que você esperaria ouvir de alguém que está dentro do criptomercado e que dá conselhos sobre...

ANBIMA alerta contra Braiscompany: “Tomaremos medidas cabíveis”

A Associação Brasileira das Entidades dos Mercados Financeiro e de Capitais (ANBIMA), emitiu, na última segunda-feira (18), um alerta contra a Braiscompany. Segundo a...

Mulher é obrigada a enviar 500 mil dólares em criptomoedas para ladrões

Uma mulher foi vítima de ladrões e acabou perdendo mais de 500 mil dólares em criptomoedas. De acordo com o portal de notícias local,...