Jak złośliwe oprogramowanie rozpoczęło hackowanie Bitcoin, z którym YouTube po prostu nie może nadążyć

Źródło: iMore

Jeśli w tym tygodniu śledziłeś nowinki techniczne, prawdopodobnie słyszałeś lub widziałeś z pierwszej ręki, jak kilka kanałów YouTube uległo powszechnemu cyberatakowi. W ciągu ostatniego tygodnia bezpieczeństwo wielu kanałów zostało naruszonych przez napastników, którzy zaczęli nadawać fałszywe transmisje na żywo reklamujące oszustwa związane z bitcoinami. Pod wieloma względami atak jest echem niedawnego włamania na Twitterze, które wygenerowało tysiące dolarów w oszukanym Bitcoinie po tym, jak pracownik Twittera został opłacony za udostępnienie hakerom.

Chociaż szczegóły samych hacków różnią się nieznacznie, pozostaje jeden główny motyw. Wszyscy czują się całkowicie zawiedzeni przez YouTube.

Jednak saga YouTube bardzo różni się od niedawnego włamania do Twittera pod wieloma względami, przede wszystkim w pozornie luźnej reakcji YouTube na problem. Spotkaliśmy się z trzema głównymi twórcami YouTube, aby dowiedzieć się, co dokładnie stało się z ich kanałami i co się stało, gdy zwrócili się do YouTube o pomoc. Chociaż szczegóły samych hacków różnią się nieznacznie, pozostaje jeden główny motyw. Wszyscy czują się całkowicie zawiedzeni przez YouTube.

Rozmawiałem z Craigiem Groshekiem, dyrektorem / właścicielem Chilling Entertainment i administratorem Chilling Tales dla Dark Nights, kanał rozrywkowy z dźwiękowym horrorem, zawierający ponad 1500 filmów i 340 000 subskrybentów, o czym stało się.

Craig był nie tylko ofiarą włamania, ale także głośno wypowiadał się na Twitterze, próbując uzyskać pomoc dla wielu innych twórców, którzy zostali złapani w skandal. Dwa takie kanały to „itsAamir” i „PapaFearRaiser”. Między nimi mają prawie dwa miliony subskrybentów. Podobnie jak Groshek, Aamir i Jordan (PapaFearRaiser), Antle mieli narażone kanały i zbyt uprzejmie zgodzili się podzielić swoimi historiami.

Co się stało?

Aamir, Antle i Groshek odkryli, że ich konta YouTube zostały przejęte w ciągu ostatnich kilku tygodni. Okazało się, że wszystkie trzy kanały transmitują na żywo filmy o oszustwach Bitcoin, zachęcając użytkowników do wysyłania Bitcoinów na adres BTC z obietnicą podwojenia pieniędzy. Filmy wyglądały jak na poniższym obrazku. Wszyscy trzej stwierdzili również, że większość, jeśli nie wszystkie ich filmy w YouTube zostały ustawione jako prywatne, a ich kanały zostały przemianowane. To było wspólne dla wszystkich hacków, które widzieliśmy w YouTube.

Źródło: Craig Groshek

„Mój kanał został naruszony 29 lipca 2020 r. Około godziny 16:00 czasu polskiego” - mówi Groshek. „Hakerzy całkowicie ominęli 2FA i nie zmienili moich haseł ani nie próbowali przekierować mojego AdSense. Zamiast tego ustawili wszystkie moje filmy jako prywatne z wyjątkiem trzech, opublikowali oszustwa Bitcoin na żywo i zmienili moje imię na Tesla, a także moje logo. Usunęli wszystkie moje playlisty i połączenia z kanałami oraz opróżnili opis mojego kanału ”.

Wielu szybko płakało z powodu zamiany karty SIM i pewnego rodzaju obejścia 2FA, gdy niektóre z tych hacków się rozwinęły. Jednak historie wszystkich trzech naszych twórców ujawniają znacznie bardziej złowieszczy sposób działania. W okresie poprzedzającym włamanie na ich kanały Aamir, Antle i Groshek otrzymali e-maile od firm, rzekomo oferując im umowy sponsorskie w celu podłączenia oprogramowania do swoich kanałów.

„Dwa tygodnie temu otrzymałem e-mail od sponsora, w którym powiedziano mi, żebym na swoim kanale reklamował edytor wideo„ Resolve 16 ”” - wyjaśnia Aamir. Okazuje się, że e-mail był fałszywy. Po rozmowie najpierw przez pocztę, a następnie przez WhatsApp, Aamir otrzymał link do pobrania oprogramowania. Zwabiony pozornie prawdziwą operacją, Aamir próbował uruchomić oprogramowanie na swoim komputerze, ale spotkał się z komunikatem o błędzie, a potem nic. W tym momencie wiedział, że coś jest nie tak.

Antle (PapaFearRaiser) opowiada podobną historię:

Zasadniczo otrzymałem coś, co wyglądało na „profesjonalny” biznesowy e-mail. To był ktoś, kto powiedział, że reprezentuje firmę o nazwie Magix Studios i oferujemy mi możliwość biznesową promowania ich produktu. Kiedy się zgodziłem, przesłali mi link do produktu do pobrania (który, jak zakładałem, byłby bezpieczny, ponieważ zrobiłem tego rodzaju) rzeczy wcześniej i było to w 100% legalne), a po pobraniu pliku WinRAR i otwarciu go nic nie było stało się.

Podobnie jak Aamir, Antle wiedział, że coś jest nie tak z oprogramowaniem, które właśnie kliknął. W ciągu 60 minut cały jego kanał YouTube został przejęty.

Jordan otrzymał mrożące krew w żyłach wiadomości e-mail z informacją, że pomocniczy numer telefonu został zmieniony na jego kanał, a następnie na powiedz, że 2FA zostało wyłączone, a następnie ponownie włączone, a następnie jego hasło zostało zmienione i zalogowało się nowe urządzenie w. Do zalogowania się do kanału użyto kodu zapasowego, a następnie pojawił się kolejny alert dotyczący nowego urządzenia. W końcu dostał e-mail z informacją, że wideo zatytułowane „Konferencja na żywo Coinbase: Podsumowanie zarobków Coinbase 29.07.2020” jest już dostępne na jego kanale. Wszystko w ciągu godziny.

Źródło: Jordan Antle

Podobnie jak Groshek i Aamir, wszystkie filmy Antle zostały ustawione jako prywatne, a kanał został przemianowany na Coinbase Live.

Zdecydowanie złośliwe oprogramowanie

„Zdecydowanie złośliwe oprogramowanie”. Spotkałem się z Rich Mogullem, analitykiem ds. Bezpieczeństwa w Securosis i CISO ds. DisruptOps, aby przeanalizować te historie. „Pliki WinRAR są jednym z najczęstszych źródeł”, kontynuuje, wyjaśniając, w jaki sposób hakerzy mogą wykorzystywać złośliwe oprogramowanie do tworzenia połączenia z zaufanego komputera w celu zmodyfikowania hasła i ustawień zabezpieczeń (w tym usługi MFA lub 2FA) w celu przejęcia kontroli nad konto. Gdy wyłączysz 2FA w Google, nie otrzymasz monitu 2FA o potwierdzenie zmiany, ponieważ jesteś już zalogowany jako zaufany użytkownik na zaufanym urządzeniu lub w zaufanej przeglądarce.

Kolejna sugestia, że ​​winne było złośliwe oprogramowanie, a nie zamiana kart SIM, była jedną z pierwszych wiadomości, które otrzymała Antle powiedzieć, że jego 2FA został wyłączony, a nie że został użyty do zalogowania się na innym urządzeniu lub przeglądarka. Historie nie wykluczają żadnego rodzaju 2FA, ataku wymiany karty SIM (i jest wielu innych skompromitowanych twórców, którzy mógł popełnić błąd), ale wydają się sugerować, że w tych dwóch przypadkach atak złośliwego oprogramowania był głównym przyczyna. Windows Defender powiedział Aamirowi po tym, że program, który pobrał, wydawał się podejrzany, ale było już za późno.

Windows Defender powiedział Aamirowi po tym, że program, który pobrał, wydawał się podejrzany, ale było już za późno.

Historia Grosheka jest nieco inna. Podobnie jak Aamir i Antle, dostał podejrzaną wiadomość e-mail dotyczącą umowy sponsorowania oprogramowania, ale po przeprowadzeniu dalszych pytań i otrzymaniu łącza do pobrania oprogramowania, postanowił go nie klikać. Zauważył jednak zrzut ekranu dołączony do wiadomości e-mail. Mogull twierdzi, że może to wskazywać na atak złośliwego oprogramowania typu „drive-by”, w którym złośliwe oprogramowanie mogło zostać użyte nawet bez kliknięcia przez Groshek łącza pobierania oprogramowania. Mogull dalej zauważa, że ​​czasami w przypadku „przejeżdżania” nie trzeba nawet czytać e-maila.

YouTuberom nie jest obce otrzymywanie ofert sponsorowania przez e-maile, a Antle mówi mi, że otrzymał je wcześniej, zarówno prawdziwe, jak i fałszywe, w odniesieniu do możliwych ofert dla sponsorów. Sfałszowane e-maile są wspólnym wątkiem w każdej historii tutaj, i chociaż Groshek tego nie zrobił kliknij na jego, wydaje się prawdopodobne, że otrzymanie wiadomości uzupełniającej w pierwszej kolejności mogło być dość. Z pewnością jest szansa, że ​​szkodliwe oprogramowanie mogło również w trakcie wydobywania danych z komputerów ofiary odebrać numery telefonów do wymiany karty SIM, a 2FA za pośrednictwem SMS-ów pozostaje dość chwiejnym sposobem na wsparcie każdego online konto. Ale wydaje się, że główną metodą włamania się do wszystkich trzech kanałów twórców, z którymi rozmawialiśmy, było złośliwe oprogramowanie.

Upuszczenie piłki

Jeśli sposób, w jaki wydawało się, że te konta zostały naruszone, nie był wystarczająco wstrząsający, odpowiedź YouTube była prawdopodobnie gorsza.

Źródło: iMore

Aamir napisał na Twitterze na YouTube w nocy, kiedy zdał sobie sprawę, że został zhakowany, i otrzymał wiadomość prywatną od TeamYouTube. Podobnie jak w przypadku innych twórców, poproszono go o wypełnienie specjalnego formularza, po czym powiedzieli, że ktoś z zespołu ds. Hakowania dla twórców skontaktuje się z Tobą przez e-mail.

Jeśli sposób, w jaki wydawało się, że te konta zostały naruszone, nie był wystarczająco wstrząsający, odpowiedź YouTube była prawdopodobnie gorsza.

Z zrozumienia Aamira YouTube musi wygenerować formularz i wysłać zhakowanemu twórcy specjalny link, po czym mają 72 godziny na wypełnienie go, tylko wiadomość o treści „Daliśmy Ci dostęp do tego formularza” nie zawierała takiego połączyć. Od czwartku 6 sierpnia Aamir czekał trzy dni na skontaktowanie się z YouTube, po czym YouTube po prostu powiedział mu, że „początkowy proces potwierdzania włamania na konto może zająć kilka tygodni” i że będą w nim dotknąć. W chwili pisania tego tekstu kanał Aamira jest nadal całkowicie zagrożony. Nadal czeka na odpowiedź, wszystkie filmy na jego kanale są nadal prywatne, a nazwa kanału nadal nosi nazwę „Ethereum Foundation [LIVE]”.

Antle opowiada podobną historię. „YouTube też był bardzo bolesny” - mówi. „Po prostu reagowali na śmierć i życie, a ja przez większość tych 4 dni pozostawano w ciemności. Ich zespół na Twitterze w ogóle nie pomógł i sprawił, że poczułem, że moja sytuacja nie była poważna, chociaż oczywiście tak było. Naprawdę nie sprawiały, że czułem, że myślą o moim bezpieczeństwie ”.

Na szczęście dla Antle'a ktoś z YouTube faktycznie skontaktował się z nami, a jego kanał został w większości przywrócony. Ale nadal nie może publikować filmów, więcej o tym później…

Groshek również odzyskał swój kanał, ale nie bez walki. Powiedział mi, że YouTube zapewnia „niewiele lub żadnych zasobów, aby wyjaśnić, jak się z nimi skontaktować i rozwiązać ten problem online”, bez wzmianki o kontach na Twitterze, takich jak @TeamYouTube czy forach pomocy Google. „Nie mówią ci, że TeamYouTube to pośrednicy bez autorytetu”, mówi, „ani że te włamania i porwania trwają od lat”.

Groshek mówi, że jego wiara w YouTube jest tak wstrząśnięta, że ​​planuje opuścić platformę w ciągu przyszłego roku.

Groshek twierdzi, że minął tydzień, zanim ktokolwiek z zespołu pomocy dla twórców YouTube skontaktował się przez e-mail, prawdopodobnie po tym, jak opublikował post na forach pomocy Google. Możesz sobie wyobrazić jego zdziwienie, gdy powiedziano mu, że nie mają związku z @TeamYouTube i że będzie musiał ponownie przekazać wszystkie informacje do drugiego działu. Nie tylko to, ale żaden dział nie mógł bezpośrednio rozwiązać problemu i musiałby przekazać informacje do swojego zespołu porywającego. Groshek opisał swoje doświadczenie jako „fatalne”, a sposób radzenia sobie przez YouTube z kryzysem wyrządził więcej szkody jemu i innym kanałom niż hakerzy. On kontynuuje:

„Niezależnie od tego, czy operatorzy kanałów” dali się nabrać na „wyrafinowane ataki phishingowe itp., YouTube musi rozpoznać, że są ich głównym celem różne rodzaje ataków i wdrażają silniejsze metody ochrony, aby temu zapobiec… Oni sami przyznają, że dzieje się tak często, że nie mogą powstrzymać w górę.

Groshek mówi, że jego wiara w YouTube jest tak wstrząśnięta, że ​​planuje opuścić platformę w ciągu przyszłego roku.

Ale to nie wszystko

Wątpliwa jest nie tylko bezpośrednia interakcja YouTube z twórcami. Kilka razy w tym tygodniu ja i inni użytkownicy YouTube widzieliśmy fałszywe transmisje na żywo Bitcoin jako polecane filmy na nasze strony główne YouTube. Naprawdę nie mogłeś tego nadrobić.

Następstwa dla wszystkich twórców, zwłaszcza Aamira (który nadal nie ma z powrotem swojego kanału), są rozległe. Wielu twórców straciło subskrybentów w wyniku włamań, 1200 w przypadku Grosheka i ponad 10000 w przypadku Antle. Nie wspominając o utracie przychodów z reklam, gdy ich kanały zostały przejęte, zarówno z powodu ukrytych filmów, jak i braku możliwości przesyłania.

Aby dodać więcej zniewagi do obrażeń, zarówno Antle, jak i Groshek otrzymali ostrzeżenia o naruszeniu wspólnoty na swoich kanałach z powodu oszustw Bitcoin na żywo.

Aby dodać więcej zniewagi do obrażeń, zarówno Antle, jak i Groshek otrzymali ostrzeżenia o naruszeniu wspólnoty na swoich kanałach z powodu oszustw Bitcoin na żywo. Pomimo, że prawdopodobnie zdawał sobie sprawę z włamania, YouTube automatycznie odrzucił odwołanie obu. W tweecie Antle powiedział:

Aby dodać zniewagę do zniewagi, YouTube zresetował karę za zakaz przesyłania na kanale Antle, ponieważ odwołał się od orzeczenia. Odwołał się, mając tylko cztery dni z siedmiodniowego zakazu, ale teraz musi poczekać kolejne siedem dni, zanim będzie mógł przesłać wszelkie filmy wideo na jego głównym kanale, z których pierwszy będzie ostrzeżeniem dla jego subskrybentów i społeczności doświadczenie.

Źródło: Jordan Antle

Podobnie jak Antle, Groshek nie mógł publikować żadnych filmów na swoim kanale Chilling Tales do wczoraj, 7 sierpnia. Tak trzymaj, YouTube.

Aamir, Antle i Groshek nie są jedynymi twórcami, których to dotyczy. Warto zauważyć, że Jon Prosser, przeciek z Apple, złamał swój kanał YouTube FrontPageTech. Aby powstrzymać dalsze szkody, cały kanał FPT został usunięty z YouTube trzy dni później; nic nie usłyszeli w odpowiedzi.

Przypomnę

Trzej twórcy, z którymi rozmawialiśmy, to tylko wierzchołek góry lodowej. Jak wspomnieliśmy wcześniej, w szczególności Groshek głośno skrytykował YouTube za obsługę dziesiątek kanałów, które zostały zaatakowane w ostatnich dniach, co pokazuje, że zrobiło to wielu innych twórców afektowany.

Biorąc pod uwagę charakter hacków (transmisje na żywo Bitcoin, prywatyzacja filmów, zmiana nazw kanałów), wydaje się wysoce prawdopodobne, że wiele z tych ataków pochodzi z tego samego źródła. Jak już wspomniano, wszyscy trzej twórcy, z którymi rozmawialiśmy, byli narażeni na działanie złośliwego oprogramowania dzięki obietnicy umów sponsorowania oprogramowania. Chociaż tylko dwóch z trzech twórców faktycznie pobrało podejrzane pliki, prawdopodobieństwo ataku typu „drive-by” za pośrednictwem wiadomości e-mail otrzymanej przez Groshek wydaje się sugerować, że głównym trybem może być złośliwe oprogramowanie, a nie wymiana karty SIM atak.

Nie sposób powiedzieć, co wydarzyło się w wielu innych przypadkach w odniesieniu do tych kanałów, z którymi nie rozmawialiśmy, a jest istnieje prawdopodobieństwo, że w celu uzyskania do nich dostępu wykorzystano wiele różnych metod, a może kombinację pewnych exploitów rachunki.

Trzej twórcy, z którymi rozmawialiśmy, to tylko wierzchołek góry lodowej.

Nie ulega jednak wątpliwości, jak źle YouTube wydaje się traktować twórców, z którymi rozmawialiśmy. Dla nich i niezliczonych innych osób YouTube jest ich źródłem dochodu i utrzymania. Jednak kiedy udali się do YouTube po pomoc, słaba komunikacja lub jej brak, strajki na kanałach za naruszenia społeczności i odrzucone odwołania od tych strajków pozostawiły gorzki posmak. Dla Grosheka wystarczyło go przekonać, że czas opuścić platformę, może to równie dobrze przekonać innych.

W chwili pisania tego tekstu firma Google nie odpowiedziała na naszą prośbę o komentarz do tej historii.

Czas przeciąć przewód!

To najlepsze bezprzewodowe słuchawki douszne, które możesz kupić za każdą cenę!

Najlepsze bezprzewodowe słuchawki douszne są wygodne, świetnie brzmią, nie kosztują zbyt wiele i łatwo mieszczą się w kieszeni.

Następne pokolenie

Wszystko, co musisz wiedzieć o PS5: data premiery, cena i nie tylko.

Sony oficjalnie potwierdziło, że pracuje nad PlayStation 5. Oto wszystko, co o nim wiemy.

Nowe Nokie

Nokia wprowadza na rynek dwa nowe, budżetowe telefony z Androidem One poniżej 200 dolarów.

Nokia 2.4 i Nokia 3.4 to najnowsze dodatki do budżetowej linii smartfonów HMD Global. Ponieważ oba są urządzeniami z Androidem One, mają gwarancję otrzymania dwóch głównych aktualizacji systemu operacyjnego i regularnych aktualizacji zabezpieczeń przez okres do trzech lat.

Ding Dong - drzwi zamknięte

Zabezpiecz swój dom dzwonkami i zamkami SmartThings.

Jedną z najlepszych rzeczy w SmartThings jest to, że możesz używać wielu innych urządzeń innych firm w swoim systemie, w tym dzwonków do drzwi i zamków. Ponieważ wszystkie one zasadniczo korzystają z tej samej obsługi SmartThings, skupiliśmy się na tym, które urządzenia mają najlepsze specyfikacje i sztuczki, aby uzasadnić dodanie ich do arsenału SmartThings.