Grupa CL-CRI-1171 infekowała przez 11 kanałów YouTube i zatrute wyniki wyszukiwania

Unit 42 opisał grupę CL-CRI-1171, która od co najmniej dwóch lat działa jako usługa pay-per-install: inni przestępcy płacą jej za rozesłanie swojego złośliwego oprogramowania. Kampania dała setki infekcji, a obie ścieżki korzystały z tego samego, własnego loadera. Liczba rozesłanych ładunków pozostaje nieustalona.

Pierwsza ścieżka to co najmniej 11 kanałów YouTube dla graczy, każdy z setkami tysięcy obserwujących. Filmy dawały prawdziwe porady o poprawie liczby klatek, awariach gier i ustawieniach platform, a w linkach czekały narzędzia z trojanem. Unit 42 zgłosił kanały, a YouTube szybko je usunął.

Druga ścieżka, zatrute wyniki wyszukiwania, celowała w odbiorców zawodowych. Programy z trojanem trafiały na komputery firmowe, także w infrastrukturze krytycznej i instytucjach rządowych. Śledztwo zaczęło się od infekcji, które wyglądały na mało istotne i zwykle nie trafiłyby do dalszej analizy. Dla firmy wynika z tego, że niepozorna infekcja na komputerze pracownika bywa częścią dużej kampanii.