Uma campanha de phishing convincente está em andamento. YouTube criadores, e se funcionar, os invasores não roubam apenas seu login do Google. Eles podem assumir o controle de toda a sua conta do Google, incluindo o Gmail, seus arquivos e pagamentos, e então sequestrar seu YouTube canalize e use seu público para aplicar golpes.
A isca é uma falsa notificação de violação de direitos autorais tão convincente que até mesmo usuários atentos à segurança podem cair no golpe. O site do ataque extrai os dados reais do seu canal, como sua foto de perfil, número de inscritos e vídeo mais recente, para criar uma página de intimidação personalizada. Ele redireciona você para uma página de login criada para roubar sua conta do Google.
A operação funciona como uma franquia: vários atacantes compartilham a mesma plataforma, cada um conduzindo suas próprias campanhas contra diferentes criadores.
Por que o seu YouTube O canal vale mais do que você imagina.
Para criadores em tempo integral, um YouTube O canal não é apenas um hobby, é um negócio. Ele gera receita por meio de anúncios, patrocínios e produtos. E tudo isso está protegido por um único login do Google, que também controla seu Gmail, Google Drive e informações de pagamento.
É isso que torna os criadores de conteúdo alvos tão atraentes. Os invasores que se apropriam de um canal costumam alterá-lo em questão de minutos, geralmente para se passar por uma empresa de criptomoedas, e usam o público existente para transmitir golpes ao vivo. O criador original fica sem acesso e vê seus anos de trabalho sendo usados para enganar seus próprios inscritos.
Uma notificação de violação de direitos autorais é a isca perfeita, pois explora o que os criadores mais temem: perder o canal da noite para o dia.
“Verifique instantaneamente o status dos direitos autorais no YouTube”
A campanha é veiculada a partir de um site chamado dmca-notification[.]infoA aba do navegador exibe “YouTube | Avisos de direitos autorais”, e a página em si tem um aspecto limpo e profissional, completa com YouTube Logotipo, barra de pesquisa e instruções úteis.
Ele pede que você insira o nome do seu canal, seu @handle ou o link do vídeo para verificar o status dos direitos autorais. Nada nisso parece imediatamente suspeito.
Cada link de phishing inclui o nome de usuário do alvo diretamente na URL, de modo que a página já sabe quem você é antes mesmo de você digitar qualquer coisa.
O código-fonte contém um sinalizador de rastreamento chamado suppressTelegramVisit, o que altera a forma como as visitas são registradas, dependendo da presença ou não de um parâmetro de afiliado. Isso sugere que os operadores possam estar coordenando o tráfego pelo Telegram, embora o kit possa ser distribuído por qualquer plataforma.
Seus próprios vídeos, usados contra você
Assim que a página tiver o nome do seu canal, ela buscará dados reais de YouTube Seu avatar, número de inscritos, número de vídeos e seu upload mais recente (incluindo título, miniatura e número de visualizações). Essas informações são então usadas para criar uma denúncia falsa de direitos autorais.
Você vê sua própria marca ao lado de uma alegação de que um trecho específico do seu vídeo mais recente foi sinalizado por violação de direitos autorais. Os intervalos de tempo são gerados dinamicamente para cada destinatário com base na duração do vídeo, fazendo com que cada notificação pareça única e legítima. É semelhante a receber uma notificação jurídica falsa que inclui seu endereço residencial real. Os detalhes pessoais tornam mais difícil descartá-la como spam.
“Responda em até três dias ou enfrente medidas coercitivas”
A página aumenta a pressão. Um aviso informa que excluir o vídeo não removerá a advertência. Uma notificação em vermelho adverte que, se você não responder em até três dias, seu canal enfrentará medidas coercitivas. A solução proposta é simples: faça login com o Google para confirmar que você é o proprietário do canal, e a reclamação será resolvida em 24 horas.
Cada elemento da página foi projetado para levá-lo ao botão “Entrar com o Google” antes mesmo que você pare para pensar.
A página de login que rouba sua conta
Quando você clica nesse botão, o site entra em contato com seu próprio servidor de back-end para obter o endereço de uma página externa de phishing, que o invasor pode substituir por um novo domínio a qualquer momento.
No tráfego observado, a solicitação para /api/get-active-domain devolveu o domínio blacklivesmattergood4[.]com, que foi então carregado em uma sobreposição em tela cheia sobre a página de aviso de direitos autorais.
O que aparece a seguir é um ataque clássico de navegador dentro de navegador: um falso Chrome Janela pop-up renderizada inteiramente em HTML e CSS. Inclui uma barra de título com a inscrição “Fazer login – Contas do Google – Google” Chrome ,” um ícone de cadeado e um URL que se parece com accounts.google.com. Nada disso é real. São apenas imagens. A única barra de endereço real é aquela na parte superior do seu navegador, que ainda mostra dmca-notification[.]info.
Dentro da janela falsa, há uma réplica convincente da página de login do Google. Ela parece exatamente igual à original, mas cada tecla digitada é enviada ao invasor.
A análise do tráfego também revelou tentativas de contato com outros domínios—dopozj[.]net, ec40pr[.]nete xddlov[.]net—que retornaram erros 502 no momento da captura. Podem ser servidores de infraestrutura de backup ou servidores de retransmissão de credenciais que estavam fora de linha.
A abordagem de domínios rotativos é o que torna esta campanha resiliente. O domínio de phishing é obtido em tempo real, sem armazenamento em cache, permitindo que os invasores alternem rapidamente entre infraestruturas. Se um domínio for desativado, a próxima vítima é redirecionada para um novo.
Assim que as credenciais são inseridas, a janela pop-up se fecha e a vítima é redirecionada para a página de aviso de direitos autorais, sem qualquer mensagem de confirmação ou erro. Isso dá ao invasor tempo para usar as credenciais roubadas antes que a vítima perceba que algo aconteceu.
Os grandes canais ficam impunes (de propósito)
Um detalhe interessante: o kit verifica se o canal em questão tem mais de três milhões de inscritos. Se for o caso, todo o fluxo de phishing é ignorado. Em vez do aviso de violação de direitos autorais e do botão de login, a página exibe uma mensagem inofensiva: “Seu canal está em situação regular. Não é necessária nenhuma ação adicional.”
Isso é quase certamente uma tática de evasão. Canais muito grandes têm maior probabilidade de possuir equipes de segurança dedicadas e relacionamentos com... YouTube a equipe de confiança e segurança, ou a visibilidade para desencadear uma ação rápida caso denunciem publicamente o golpe. Ao isentá-los automaticamente, o kit reduz o risco de atrair a atenção justamente das pessoas mais capazes de desmantelar a operação.
Não é apenas um golpista
O código-fonte revela que não se trata de uma única página de phishing administrada por uma única pessoa. O kit inclui um sistema de rastreamento de afiliados, no qual cada invasor recebe seu próprio ID, incorporado nos links de phishing que envia. Um backend central rastreia qual operador encaminhou qual vítima e até que ponto cada alvo avançou no funil. Nossa captura de tráfego confirma isso: o link de phishing incluía um ID de referência (ref=huyznaetdmca), a tag de afiliado padrão, que parece ser uma transliteração de uma frase russa. Marcas como Google e YouTube Também são escritos com caracteres cirílicos semelhantes no código-fonte para burlar os scanners de segurança automatizados.
Resumindo, trata-se de phishing como serviço: uma plataforma compartilhada que vários atacantes podem usar para executar campanhas contra... YouTube criadores em grande escala.
Como se proteger
Esta campanha serve para lembrar que o phishing já foi muito além dos e-mails cheios de erros ortográficos enviados por um príncipe nigeriano. Os kits de phishing atuais são plataformas desenvolvidas profissionalmente, com infraestrutura rotativa, personalização em tempo real e distribuição em estilo de franquia.
Para YouTube Para os criadores, a regra fundamental é simples: as notificações de direitos autorais só aparecem em YouTube Estúdio.
Se você receber um aviso em qualquer outro lugar, considere-o suspeito.
- Desconfie de qualquer pressa. Os processos legítimos de direitos autorais não o pressionam a agir rapidamente
- Acesse diretamente o site studio.youtube.com ou por meio de canais confiáveis para verificar seu status
- Nunca faça login através de um link contido em um e-mail ou mensagem
Identifique uma janela falsa do navegador
- Tente arrastá-la: uma janela de verdade se move livremente. Uma falsa fica presa dentro da página
- Minimize o navegador: uma janela pop-up verdadeira permanece aberta. Uma falsa desaparece
- Verifique o URL: se você não conseguir interagir com ele, é apenas uma imagem
Mesmo que tudo pareça correto, verifique sempre a barra de endereço antes de digitar seu nome de usuário e senha.
Se você já inseriu seus dados, não perca tempo:
- Altere sua senha do Google imediatamente
- Revogar sessões ativas nas configurações de segurança da sua conta
- Verifique o seu YouTube canal para alterações não autorizadas
Indicadores de Compromisso (IOCs)
Domínio
dmca-notification[.]info(site principal de phishing)blacklivesmattergood4[.]com(domínio de roubo de credenciais — ativo no momento da captura)dopozj[.]net(infraestrutura associada — 502 no momento da captura)ec40pr[.]net(infraestrutura associada — 502 no momento da captura)xddlov[.]net(infraestrutura associada — 502 no momento da captura)
Algo parece errado? Verifique antes de clicar.
Malwarebytes Scam Guard ajuda você a analisar links, textos e capturas de tela suspeitos instantaneamente.
Disponível com Malwarebytes Premium Security para todos os seus dispositivos e no aplicativo Malwarebytes para iOS e Android .
