<注意>YouTube乗っ取り確認なぜ2段階認証ハッキング目的2つ

マルウェア （コンピュータ ウイルス） に感染した Windows パソコンから認証情報を盗み、攻撃者が Google アカウントに不正アクセスして YouTube チャンネルを乗っ取るハッキング被害 が確認されているので紹介します。

YouTube 乗っ取り確認方法 3 ステップ

 
激安価格な中古ノートパソコン

YouTube チャンネル乗っ取り被害の実例

ロシア語圏からと推測される攻撃者グループによって YouTube チャンネルが乗っ取られたらどうなるか、ハッキング被害の状況が丸分かりの事例 2 つをスクリーンショット画像で示します。

YouTube クリエーター サポートチームに問い合わせる
https://support.google.com/youtube/answer/6249136?hl=ja
Twitter アカウント → @TeamYoutube
乗っ取られた YouTube チャンネルを復旧する対応について、アカウントをフォロー後にダイレクトメッセージで不正使用対策チームに問い合わせる案内あり （日本語対応）

乗っ取り前に投稿されていた正当な動画は非公開に

チャンネル名やバナーが仮想通貨のものに変更されている

仮想通貨を盗むライブ配信は録画映像の使い回し

テスラライブと称してイーロン・マスク登場の詐欺動画

YouTube チャンネルに投稿してあった自分の動画が削除・非公開される場合が多い

チャンネル名、プロフィール写真、バナー画像が仮想通貨に関連するものに変更される

配信は仮想通貨に縁のある CEO が英語で話す映像を悪用して送金を促す

ボットネットの力でライブ配信の同時接続数 （同接） は数百～数千人に水増しされている

仮想通貨を盗む詐欺動画と指摘されないようコメント欄やチャットはオフにしてある

日本のゲーマーが管理する YouTube 乗っ取り被害

YouTube チャンネルに投稿してあった自分の動画はそのままで削除されない

チャンネル名、プロフィール写真、バナー画像は変更されない場合が多い

本来のチャンネルの内容とは雰囲気が異なる動画が投稿される （本数 1～100）

└ Windows 上で動作するオンラインゲームやソフトウェアに関連する英語の動画が多い Firefly

動画の説明欄にマルウェアをダウンロードさせる URL リンクを示してクリックを誘う

ボットネットの力で動画の再生回数が数千～数万回に水増しされる場合がある

動画の内容を称賛する英語のコメントが数十～数百件ぐらい投稿される場合がある

 
激安価格な中古ノートパソコン

YouTube 乗っ取り原因で 「垢BAN」 凍結も

赤色で警告文で YuoTube 凍結の措置

【YouTube チャンネル凍結の通知】 無題な濃いログ
スパム、詐欺、誤解を招くコンテンツに関する YouTube ポリシーやその他の利用規約に対する度重なる違反または重大な違反のため、このアカウントを停止しました。 無題な濃いログ
YouTube のコミュニティ ガイドラインに違反していたため、このアカウントを停止しました。
このチャンネルは存在しません。 無題な濃いログ

第三者からの商標権侵害の申し立てにより、このアカウントを停止しました。
この動画は、次の YouTube ポリシーへの違反により削除されました: スパム、欺瞞行為、詐欺の禁止
https://fireflyframer.blog.jp/31638746.html

なぜ？ YouTube 乗っ取り前にマルウェア感染か

2021 年 10 月に Google のセキュリティエンジニアが公開した記事 （抜粋） より、YouTube の乗っ取りの分析から マルウェア感染 が引き金になっている事実を指摘しました。 ＜長い文章をコチラで日本語訳

Cookie を盗むマルウェアを使い YouTube クリエイターを狙うフィッシング詐欺のキャンペーン
執筆者 Ashley Shen

https://blog.google/threat-analysis-group/phishing-campaign-targets-youtube-creators-cookie-theft-malware/

Google の Threat Analysis Group は、偽情報のキャンペーン、政府が支援するハッキング、金銭的な動機による不正な行為に関与する攻撃者を追跡しています。
2019 年後半以降、私たちのチームは、Cookie Theft マルウェアを使って金銭的な動機に基づいて YouTuber を狙うフィッシング詐欺のキャンペーンを妨害してきました。

このキャンペーンの背後にいる人物は、ロシア語圏のフォーラムで募集されたハッカーのグループによるものと考えています。嘘のコラボレーションの機会 （例として、ウイルス対策ソフト、VPN ソフト、音楽プレーヤー、写真編集アプリ、オンラインゲームのデモンストレーション） でターゲットを勧誘し、YouTube チャンネルを乗っ取った後、YouTube チャンネルを最高入札者に売却したり、仮想通貨詐欺のライブ配信に使います。無題な濃いログ

YouTube、Gmail、Trust & Safety、CyberCrime Investigation Group、セーフ ブラウジングの各チームの連携により、私たちの保護機能は、関連した Gmail でのフィッシングメールを 2021 年 5 月から 99.6％ 減少させることができました。
私たちは、ターゲットに対する 160 万通のメッセージをブロックし、Google セーフブラウジングによりフィッシングページに 6 万 2,000 回以上の警告を表示し、2,400 個のファイルをブロックし、4,000 件以上のアカウントの復元に成功しました。
検出活動の強化により、攻撃者は Gmail から他のEメールサービス （主に email.cz、seznam.cz、post.cz、aol.com） に移行していることを確認しています。
加えて、ユーザーを保護するため、次の行為を FBI に照会して詳しく調査しています。


〔 戦術・技術・手順 〕

Cookie Theft は、「Pass-the-Cookie 攻撃」 とも呼ばれ、ブラウザに保存されているセッション Cookie を使ってユーザーのアカウントにアクセスするセッション・ハイジャックの手法です。
この手法は何十年も前から存在していますが、セキュリティリスクの上位として復活した理由は、多要素認証の普及により不正使用が難しくなり、攻撃者の関心がソーシャル・エンジニアリングの戦術に移ったためと思われます。

■ ソーシャル・エンジニアリングで YouTuber に広告のオファー

YouTube クリエイターの多くは、ビジネスチャンスを獲得するため、自分の YouTube チャンネルでEメールアドレスを提供しています。 （※脚注）
この場合、攻撃者が既存の企業に成りすまして、動画広告のコラボレーションを依頼するビジネスメールを装って送信しました。

『こんにちは、Jeff Tyler と申します。私は pixprotect の責任者の一人です。最近、当社は pixprotect というウイルス対策ソフトを開発しましたが、米国ではほとんど知られていません。さらに多くの人に知ってもらうため、優れた広告が必要です。貴殿は優れた内容の YouTube チャンネルをお持ちのようで、30 秒か 15 秒の短い映像を発注させていただきます。
私たちのサービスを広告でどのように見せたいか。 Firefly
・ プログラムを起動して登録作業を行う様子をデモンストレーションしてもらう必要があります。
・ その動画のサムネイルは専用のものでなければなりません。
・ 差し支えなければ、当社のウイルス対策ソフトの信頼性について教えてください。
協力してくれることを願っています。ありがとうございます。』

このフィッシング詐欺は、通常、企業やその製品を紹介するEメールから始まります。
ターゲットが取引に応じると、ソフトウェアのダウンロード URL と装わせてマルウェアの配布ページが記載されてある PDF 文書を Google ドライブ上に公開してEメールで連絡したり、稀なケースではフィッシングサイトのリンクが含まれている Google ドキュメントを公開してEメールで連絡しました。 Firefly
約 15,000 の攻撃者のアカウントを確認しましたが、その大部分がこのキャンペーンのためだけに作成されたものでした。


■ Cookie 窃盗マルウェアの配信

ターゲットが偽のソフトウェアを実行すると、Cookie を盗むマルウェアが実行されて、被害者のパソコンからブラウザの Cookie を取得し、攻撃者のコマンド＆コントロールのサーバーに送信されます。
この手のマルウェアは、被害者のパソコン上で常駐して動作することができますが、この攻撃者たちはすべてのマルウェアを常駐しないモードで動作させます。 Firefly
悪意のあるファイルを実行した時に検出されなかった場合、感染した端末での痕跡が少なくなるので、過去に侵害されていた事実をセキュリティ製品はユーザーに報告できなくなります。 無題な濃いログ

攻撃者は個人的な好みで様々な種類のマルウェアを使っていることを確認していますが、そのほとんどは GitHub で簡単に入手できます。
使われていた多用途型のマルウェアは 「RedLine Stealer」、「Vidar」、「Predator the Thief」、「Nexus Stealer」、「AZORult」、「Raccoon Stealer」、「GrandSteal」、「VikroStealer」、「Masad」 （Google が命名）、「Vidar」 とコードが類似している 「Kantal」 （Google が命名） などです。 Firefly
また、「SoranoStealer」、「Adamantium-Thief」 といったオープンソースのマルウェアも確認しています。 （※いずれも Windows 向けのマルウェア、それ以外の環境 mac.OS、Android、iOS では動作しない）

観測したマルウェアのほとんどは、ユーザーのパスワードと Cookie の両方を盗むことができます。
いくつかのサンプルは、サイズを巨大化させたファイル、パスワードで暗号化された圧縮アーカイブ、ダウンロードの IP クローキングといった、いくつかのサンドボックスを回避する技術が採用されていました。 （※脚注）
実行を継続させるため、偽のエラーメッセージを表示してユーザーのクリックを要求するものもわずかに観測しました。

「The application was unable to start correctly (0xc00007b). Click OK to close the application.」


■ 仮想通貨詐欺と YouTube チャンネルの販売

乗っ取られた大量の YouTube チャンネルは、仮想通貨に関連する詐欺のライブ配信用に再構築されました。
チャンネル名、プロフィール写真、コンテンツはすべて仮想通貨のブランドに置き換えられ、大手のテック企業や仮想通貨取引所に成りすましました。 Firefly
攻撃者は、最初の送金と引き換えに 仮想通貨を Giveaway （無料プレゼント） すると約束する動画をライブ配信 していました。

アカウントを取引するマーケットでは、乗っ取られた YouTube チャンネルが登録者数に応じて 3 ～ 4,000 米ドルの範囲でした。 （※日本円で約 350 円 ～ 46 万円）


■ 攻撃からユーザーを保護する

私たちはこのような脅威を検知する方法を継続的に改善し、自動的に識別して阻止する新しいツールや機能に投資をしています。
改善点の一部を紹介します。

・ フィッシング詐欺メール やソーシャル・エンジニアリングのEメール、Cookie Theft の乗っ取り、仮想通貨の詐欺のライブ配信を検知して阻止する経験則に基づいたルールを追加しました。

・ Google セーフブラウジングは、マルウェアの配布ページやダウンロードの検出と阻止をさらに強化しました。

・ YouTube はチャンネルを移行する手続きを強化し、乗っ取られた YouTube チャンネルの 99％ 以上を検出して自動的に回復します。 Firefly

・ アカウントのセキュリティは認証の手続きを強化し、不自然な可能性のある挙動を阻止してユーザーに通知します。

また、このような脅威を認識して、適切な行動で身を守ることが重要です。
私たちの提案です。

・ Google セーフブラウジングの警告を真剣に受け止めること。ウイルス対策ソフトでマルウェアが検出されることを回避するため、攻撃者はユーザーに警告を無効化したり無視するよう誘惑します。

・ ソフトウェアを実行する前に、ウイルス対策ソフトや VirusTotal のようなオンラインのウイルススキャンツールを使ってウイルススキャンを行い、ファイルの正当性を確認します。 Firefly

・ Google Chrome ブラウザの 「セーフブラウジング 保護強化機能」 モードは、疑わしい可能性のあるウェブページやファイルに対する警告を向上させる機能です。

・ パスワードで暗号化された圧縮アーカイブ は、ウイルス対策ソフトのスキャンから検出を回避して、悪意のあるファイルを実行する危険性が高まることが多く、注意が必要です。 Firefly

・ パスワードが盗まれた場合に備えて、2 段階認証 （多要素認証） でアカウントを保護します。2021 年 11 月より、収益化している YouTube クリエイターは、YouTube Studio あるいは YouTube Studio コンテンツ マネージャーにアクセスするため、YouTube チャンネルで使用している Google アカウントで 2 段階認証を有効にする必要があります。

https://fireflyframer.blog.jp/31638746.html

• セキュリティソフトの開発元にウイルス検体ファイルを送信することが困難になる
  
  
• VirusTotal のようなウイルススキャンサービスにファイルを送信できなくなる
  
  
• 動作パフォーマンスに配慮してセキュリティソフトがファイルのスキャンをスキップする

• オンラインストレージにマルウェアがアップロードされ放題になっている
  
  
• セキュリティソフトで圧縮アーカイブをスキャンしても 「無害」 と判定する
  → ユーザーは問題ない安全なファイルを入手したと確信して警戒心が消える

YouTube 乗っ取りマルウェアのやり方

YouTube チャンネルが乗っ取られる背景を知ると、YouTube のセキュリティ管理に何か問題があるように見えて実はそうではなく、マルウェアに感染する Windows ユーザーさんの尻拭いを Google がせざるを得なくなっている 現実です。

フォームの自動入力 （Chrome ブラウザの場合）

Cookie の設定 （Chrome ブラウザの場合）

【Windows ユーザーの Google アカウント認証作業】
<ログイン作業> ユーザー名とパスワードを入力済み
 ↓
<2 段階認証> 電話番号に宛てた確認コードを入力済み
 ↓
本人確認を無事に通過した Cookie が作成される

• Google Chrome
  
  
• Microsoft Edge
  
  
• Mozilla Firefox

• YouTube チャンネルを運用するため Google が開発者向けに提供している YouTube Data API を悪用する
  
  
• Google アカウントのアクセス履歴に不正な接続が記録されない
  → 日本国外からの不正アクセスが存在せず、乗っ取られた Windows パソコンからの履歴だけが残る
  

YouTube 乗っ取りのセキュリティ対策トピックス

パスワードなどをユーザーに代わって覚えておいてくれるブラウザの 「フォームの自動入力」 機能は、Windows パソコンがマルウェアに殺られた瞬間にぜんぶ盗まれうる潜在的なリスクです。

〔YouTube 動画配信者〕
チャンネルの内容が優れていると英語で褒めて、商品を PR する企業案件やコラボ動画を提案する

〔NFT アーティスト〕
あなたの素晴らしい絵のファンだと英語で持ち上げて、デジタルアート作品の制作を依頼する

→ 「企画書」 「契約書」 「資料」 に偽装したファイルの正体がマルウェア

〔Discord ユーザー〕
（攻撃者が Discord のチャットを介して）
制作中のゲームのテストプレイをして欲しいと英語で依頼する
対戦型オンラインゲームを有利にするチートツールを配布する
ゲーム内の通貨やアイテムが無料で手に入る、ゲームの有料サービスが無料になる、などと称したプログラムを配布する

→ 「ゲーム」 「チートツール」 などに偽装したファイルの正体がマルウェア

 
激安価格な中古ノートパソコン