Een grootschalige cybercampagne, gekoppeld aan de pay-per-install operatie CL-CRI-1171, misleidde gebruikers via YouTube en zoekmachines om malware te installeren. De aanvallers richtten zich op gamers en mensen die zochten naar legitieme software door nep-tools en gecompromitteerde downloads aan te bieden.

De campagne maakte gebruik van twee methoden om slachtoffers te lokken. Gamingkanalen gaven eerst legitiem advies over game-optimalisatie, om vervolgens kijkers via links in video-beschrijvingen naar Blogspot-pagina's te leiden. Vanaf daar werden gebruikers doorgestuurd naar installatieprogramma's. Parallel daaraan werd 'search-engine optimization' (SEO) poisoning ingezet. Gebruikers die zochten naar bijvoorbeeld Bluetooth-drivers of WinDirStat, konden op links klikken die hen op valse bestandshostingpagina's brachten. Na een gesimuleerde virusscan werd daar een getrojaniseerd archief aangeboden.

Meer dan 10.000 unieke samples van de OfferLoader-component en elf YouTube-kanalen met grote aantallen abonnees werden geïdentificeerd voordat de kanalen werden verwijderd. Het aantal zichtbare infecties vertegenwoordigt slechts een fractie van de totale operatie. Het onderzoek naar de campagne begon na de analyse van twee minder urgente infecties bij verschillende organisaties.

Het systeem van de campagne was uitgerust om nieuwe kliks te inspecteren, waarbij gedetailleerde informatie werd verzameld over het apparaat, de browser, de zoekopdracht, de verwijzer en het IP-adres. Echte bezoekers kregen de malware aangeboden, terwijl geautomatiseerde scanners en onderzoekers vaak een onschadelijk ogend WinRAR-programma of een defecte link te zien kregen.

OfferLoader maakte gebruik van een getrojaniseerd Inno Setup-installatieprogramma om de volgende stappen te initiëren. Na een controle op tracking, werden drie onderliggende processen gestart voor verschillende malware-activiteiten.

Eén van deze processen installeerde Insomnia RAT, een backdoor voor Windows en macOS die zowel in Node.js als Python was geschreven. De installer van Insomnia RAT schakelde beveiligingsfuncties van Microsoft Defender uit, voegde de gehele C:-schijf toe aan de uitsluitingslijst van de antivirussoftware en creëerde geplande taken voor onopgemerkte persistentie op het systeem. Deze backdoor kon systeeminformatie verzamelen, commando's ontvangen, bestanden downloaden en de resultaten rapporteren aan de aanvallers.

Een tweede proces installeerde ARKTunnel, een niet-gedocumenteerde tool voor externe toegang die zijn schadelijke code verborg in een bitmapafbeelding. ARKTunnel creëerde een Windows-service met uitgestelde start en had de mogelijkheid om TCP- of UDP-verkeer te tunnelen en bestanden uit te voeren.

De derde tak, Docro Hijacker, paste de beveiligingsinstellingen van Chrome aan met behulp van geldige integriteitssignaturen. Docro Hijacker wijzigde de standaard zoekmachine en laadde een browseruitbreiding die verzoeken kon herschrijven, inhoud in zoekresultatenpagina's kon injecteren, affiliate links kon aanpassen en klikgedrag kon omleiden.

Gebruikers wordt aangeraden om software uitsluitend te downloaden van websites van geverifieerde uitgevers. Het vermijden van cracks en game cheats is cruciaal, evenals het controleren van de uitgever en digitale handtekening van een bestand voordat dit wordt uitgevoerd.

Organisaties wordt geadviseerd om verdachte installatieprocessen, onverwachte geplande taken, nieuw aangemaakte services, wijzigingen in browserinstellingen en netwerkverbindingen naar onbekende domeinen te onderzoeken. Teams die reageren op een mogelijke cyberaanval, dienen het betreffende apparaat direct te isoleren, bewijsmateriaal veilig te stellen, blootgestelde inloggegevens opnieuw in te stellen vanaf een schoon systeem en een volledige analyse uit te voeren alvorens het apparaat weer in gebruik te nemen.