Comment les pirates ont piraté des milliers de comptes YouTube de premier plan

Depuis au moins 2019, les pirates ont détourné des chaînes YouTube très médiatisées. Parfois, ils diffusent des escroqueries à la crypto-monnaie, parfois ils vendent simplement aux enchères l’accès au compte. Désormais, Google a détaillé la technique utilisée par les pirates informatiques pour compromettre des milliers de créateurs YouTube au cours des deux dernières années seulement.

Les escroqueries par crypto-monnaie et les prises de contrôle de compte elles-mêmes ne sont pas rares ; ne cherchez pas plus loin que le hack Twitter de l’automne dernier pour un exemple de ce chaos à grande échelle. Mais l’assaut soutenu contre les comptes YouTube se démarque à la fois par son ampleur et par les méthodes utilisées par les pirates, une vieille manœuvre qui est pourtant incroyablement difficile à défendre.

Tout commence par un hameçonnage. Les attaquants envoient aux créateurs YouTube un e-mail qui semble provenir d’un service réel, comme un VPN, une application de retouche photo ou une offre antivirus, et proposent de collaborer. Ils proposent un arrangement promotionnel standard : montrez notre produit à vos téléspectateurs et nous vous paierons des frais. C’est le genre de transaction qui se produit tous les jours pour les sommités de YouTube, une industrie animée de paiements d’influenceurs.

En cliquant sur le lien pour télécharger le produit, cependant, le créateur est dirigé vers un site de destination de logiciels malveillants au lieu de la vraie affaire. Dans certains cas, les pirates ont usurpé l’identité de quantités connues comme les jeux Cisco VPN et Steam, ou ont prétendu être des médias axés sur Covid-19. Google dit avoir trouvé à ce jour plus de 1 000 domaines spécialement conçus pour infecter des YouTubers involontaires. Et cela ne fait qu’indiquer l’échelle. La société a également trouvé 15 000 comptes de messagerie associés aux attaquants à l’origine du stratagème. Les attaques ne semblent pas avoir été l’œuvre d’une seule entité ; plutôt, selon Google, divers pirates ont annoncé des services de prise de contrôle de compte sur des forums en russe.

Une fois qu’un YouTuber télécharge par inadvertance le logiciel malveillant, il récupère des cookies spécifiques à partir de son navigateur. Ces « cookies de session » confirment que l’utilisateur s’est connecté avec succès à son compte. Un pirate informatique peut télécharger ces cookies volés sur un serveur malveillant, les laissant se faire passer pour la victime déjà authentifiée. Les cookies de session sont particulièrement précieux pour les attaquants car ils éliminent le besoin de passer par n’importe quelle partie du processus de connexion. Qui a besoin d’informations d’identification pour se faufiler dans le centre de détention de l’Étoile de la mort alors que vous pouvez simplement emprunter l’armure d’un stormtrooper ?

« Des mécanismes de sécurité supplémentaires comme l’authentification à deux facteurs peuvent présenter des obstacles considérables pour les attaquants », explique Jason Polakis, informaticien à l’Université de l’Illinois à Chicago, qui étudie les techniques de vol de cookies. « Cela fait des cookies de navigateur une ressource extrêmement précieuse pour eux, car ils peuvent éviter les contrôles de sécurité et les défenses supplémentaires qui sont déclenchés pendant le processus de connexion. »

De telles techniques de « passer le cookie » existent depuis plus d’une décennie, mais elles sont toujours efficaces. Dans ces campagnes, Google affirme avoir observé des pirates informatiques utilisant une douzaine d’outils malveillants prêts à l’emploi et open source différents pour voler les cookies du navigateur sur les appareils des victimes. Beaucoup de ces outils de piratage pourraient également voler des mots de passe.

« Les attaques de piratage de compte restent une menace généralisée, car les attaquants peuvent exploiter les comptes compromis de multiples façons », explique Polakis. « Les attaquants peuvent utiliser des comptes de messagerie compromis pour propager des escroqueries et des campagnes de phishing, ou peuvent même utiliser des cookies de session volés pour drainer les fonds des comptes financiers d’une victime. »