Hackers criaram canais falsos de games no YouTube para atingir jogadores

São Paulo - Uma investigação conduzida pela equipe de inteligência em ameaças Unit 42, da Palo Alto Networks, revelou como criminosos virtuais montaram uma organizada operação de contaminação digital escondida atrás de conteúdos aparentemente inofensivos do YouTube. 

A rede cibercriminosa, rastreada sob  o nome de CL-CRI-1171 fez uma ofensiva na qual criminosos pagam para que seus vírus sejam instalados nos computadores das vítimas.

Como funcionava no YouTube

Na prática, os golpistas mantinham pelo menos 11 canais no YouTube com centenas de milhares de inscritos e milhões de visualizações combinadas. Os vídeos mostravam tutoriais reais sobre como aumentar o FPS (quadros por segundo o jogo), corrigir travamentos ou ajustar configurações de plataformas de games - ações feitas corriqueiramente por crianças e adolescentes que jogam online. 

No entanto, as descrições e comentários continham links redirecionados para blogs intermediários, como o Blogspot, que levavam ao download de ferramentas infectadas, como softwares. 

Paralelamente, os criminosos envenenaram resultados de busca no Google para que usuários que pesquisavam softwares legítimos fossem direcionados a páginas falsas com programas adulterados.

A rede criminosa operou silenciosamente por pelo menos dois anos. Entre julho de 2025 e junho de 2026, os pesquisadores identificaram a distribuição contínua e rotativa de diferentes combinações de vírus. Além disso, foram mapeadas mais de 10.000 amostras distintas do carregador malicioso, demonstrando um pipeline massivo de infecção.

Como os vírus eram infiltrados?

A infecção funcionava em etapas planejadas para filtrar vítimas reais e escapar de mecanismos de segurança:

• Triagem por impressão digital: ao clicar no link de download, a vítima passava por um sistema de verificação. Se o acesso fosse de um robô ou pesquisador de segurança, o site exibia um link quebrado ou uma página falsa;
• Download: se fosse um usuário real, um arquivo compactado (ZIP) entregava  um instalador disfarçado. Ao ser executado, o instalador comunicava-se com o servidor de controle e iniciava três processos, instalando três vírus diferentes ao mesmo tempo.

Quais dados foram roubados?

A operação realizava a coleta massiva de informações confidenciais do usuário e da máquina:

• Impressão digital de navegação: o sistema capturava o endereço IP público, o sistema operacional, o navegador, o site de origem e a palavra-chave exata digitada na busca do Google;
• Identificadores do computador: os vírus coletavam o nome do computador e detalhes da arquitetura do processador;
• Buscas e histórico: um dos malwares monitorava buscas em mais de 190 domínios do Google, injetando anúncios falsos em pesquisas orgânicas, sequestrando links e redirecionando os cliques para beneficiar os criminosos.

O acesso a esses dados permitia o controle remoto do criminoso do computador da vítima, assim como mantinha o acesso irrestrito ao comportamento de busca na internet, influenciando-a a continuar acessando plataformas infectadas com vírus. 

Segurança

Tendo em vista esse tipo de ação criminosa, tome as seguintes iniciativas para buscar garantir a segurança dos seus dados e do seu computador:

• Confira o histórico de vídeos do canal do YouTube e comentários dos usuários para verificar se é um perfil verídico e confiável;
• Evite baixar arquivos de "melhoria de FPS" ou "correção de lag" oferecidos por links encurtados ou blogs em descrições no YouTube;
• Utilize apenas sites oficiais para baixar softwares;
• Fique atento às alterações no navegador. Assim, se a sua página inicial ou buscador padrão mudar para um endereço desconhecido sem sua autorização, seu navegador pode ter sido comprometido por um criminoso.