Unit 42 de Palo Alto Networks descubrió una campaña de malware de dos años que usó YouTube para distribuir software infectado a gamers. Los atacantes crearon canales con tutoriales falsos, acumulando millones de visualizaciones y cientos de miles de suscriptores, para distribuir troyanos como Insomnia RAT, ARKTunnel y Docro Hijacker.

En los últimos dos años, un grupo de ciberdelincuentes identificado como CL-CRI-1171 ha utilizado el ecosistema de YouTube como herramienta para atacar a jugadores a gran escala. Según una investigación de Unit 42, estos atacantes crearon identidades falsas centradas en videojuegos, integrándose en comunidades donde los jugadores buscan tutoriales, mods y consejos. Los enlaces compartidos en estos canales dirigían a los usuarios a descargas de software infectado con troyanos, camuflados como herramientas útiles para juegos.

Lo más alarmante es que estos canales de YouTube, 11 en total, lograron acumular cientos de miles de suscriptores y millones de visualizaciones. Aunque YouTube ya ha eliminado estos canales, el daño podría ser extenso, ya que los usuarios descargaban el malware creyendo que eran soluciones legítimas para mejorar su experiencia de juego.

¿Cómo operaba esta campaña de malware?

La campaña de CL-CRI-1171 se basaba en un modelo de pay-per-install (PPI), donde los operadores ofrecían un servicio de infección a otros actores de amenazas. Esto significa que cualquier ciberdelincuente podía pagar para distribuir su malware a través de la misma infraestructura, utilizando un cargador personalizado llamado OfferLoader.

Este cargador, OfferLoader, era un instalador troyanizado de Inno Setup que, una vez ejecutado, descargaba múltiples cargas útiles de malware. Lo más preocupante es que se identificaron más de 10,000 muestras distintas de este cargador, cada una capaz de entregar combinaciones únicas de malware.

Los atacantes utilizaron dos mecanismos principales para dirigir tráfico a las páginas de aterrizaje del malware:

• Canales de YouTube: Videos con consejos para mejorar el rendimiento en juegos, solucionar errores o ajustar configuraciones. Estos videos incluían enlaces en la descripción que llevaban a los usuarios a descargar herramientas maliciosas.
• Envenenamiento de SEO: Páginas de alojamiento de archivos falsos que aparecían en los resultados de búsqueda para software legítimo. Estas páginas mostraba una animación falsa de escaneo de virus antes de redirigir a los usuarios a descargas troyanizadas.

¿Qué tipos de malware se distribuyeron?

La investigación de Unit 42 identificó tres familias de malware principales distribuidas por este grupo entre julio de 2025 y abril de 2026:

1. Insomnia RAT: Un backdoor multiplataforma

Insomnia RAT es un malware de remote access trojan (RAT) que distribuye dos cargas útiles simultáneamente:

• Un backdoor basado en Node.js: Dirigido a Windows y macOS, capaz de ejecutar comandos y descargar archivos adicionales.
• Un backdoor basado en Python: Actúa como respaldo redundante para garantizar el acceso persistente.

Este malware recopila información del sistema, como el MachineGuid, el nombre de host y los detalles del sistema operativo, y se comunica con sus servidores de comando y control (C2) mediante solicitudes HTTPS.

2. ARKTunnel: Un RAT oculto en imágenes

ARKTunnel es un remote access trojan basado en WebSocket que utiliza esteganografía para ocultar su carga útil en imágenes BMP. Este malware se instala como un servicio de Windows y admite el túnel de tráfico TCP y UDP, así como la ejecución de archivos.

Se encontraron 50 muestras de este malware, desarrolladas a lo largo de un año, con rotaciones de identidades corporativas falsas para evadir la detección.

3. Docro Hijacker: Secuestro de navegadores Chrome

Docro Hijacker es un malware que secuesta el navegador Google Chrome mediante la instalación de una extensión maliciosa. Esta extensión modifica la página de búsqueda predeterminada y reescribe las solicitudes de red para inyectar anuncios y redirigir a los usuarios a destinos controlados por los atacantes.

Lo más preocupante es que este malware utiliza una técnica de bypass para eludir las protecciones de integridad de Chrome, permitiendo la modificación de las preferencias seguras del navegador.

¿Por qué los gamers son un objetivo frecuente?

Los gamers son un objetivo atractivo para los ciberdelincuentes por varias razones:

• Confianza en la comunidad: Los jugadores suelen confiar en los creadores de contenido de videojuegos, lo que facilita la distribución de enlaces maliciosos.
• Búsqueda de soluciones rápidas: Muchos gamers buscan tutoriales, mods o herramientas para mejorar su experiencia, lo que los hace más propensos a descargar archivos de fuentes no oficiales.
• Uso de dispositivos compartidos: Los dispositivos personales utilizados para jugar a menudo también se usan para el trabajo remoto, lo que permite que el malware acceda a redes corporativas.

Esta campaña demuestra cómo los ciberdelincuentes están evolucionando sus tácticas para aprovechar la cultura y la confianza en las comunidades de jugadores. Al camuflar el malware como herramientas útiles para juegos, los atacantes logran infiltrarse en redes corporativas cuando el software se instala en dispositivos compartidos.

¿Cómo protegerse de estas amenazas?

Para evitar ser víctima de este tipo de ataques, se recomienda:

• Descargar software solo de fuentes oficiales: Evitar descargar herramientas o mods de sitios no confiables.
• Verificar la autenticidad de los canales: Asegurarse de que los canales de YouTube o las páginas web sean legítimos antes de hacer clic en cualquier enlace.
• Usar soluciones de seguridad actualizadas: Contar con un buen antivirus y soluciones de seguridad que puedan detectar y bloquear malware.
• Educar a los usuarios: Concienciar a los gamers sobre los riesgos de descargar archivos de fuentes desconocidas.

Las soluciones de Palo Alto Networks, como Advanced WildFire, Advanced URL Filtering y Cortex XDR, ya han sido actualizadas para detectar y bloquear las muestras de malware asociadas con esta campaña.