YouTube 幽灵网络：GachiLoader 新型恶意软件潜藏于热门视频链接-安全KER

Check Point 研究团队的最新调查揭露了一场名为 “YouTube 幽灵网络” 的恶意攻击活动。攻击者控制了大量被盗用的 YouTube 账号，将这款热门视频平台变成数据窃取的跳板，在看似无害的视频链接背后，隐藏着一款高度混淆的新型恶意软件加载器 ——GachiLoader。

攻击手法与传播路径

该攻击活动主要针对两类用户：一是寻找破解软件的人，二是寻找游戏作弊器的人，核心是利用观众对成熟 YouTube 频道的固有信任进行诱导。具体流程如下：

攻击者劫持合法 YouTube 账号，上传推广 “破解版” 软件、修改器或作弊程序的视频。
视频中附带指向外部文件托管平台的链接，而这些平台中藏有 GachiLoader 恶意软件。
受害者因轻信平台与账号的可信度，下载并执行恶意文件，最终触发后续攻击链。

Check Point 报告指出：“YouTube 幽灵网络背后的攻击者利用用户对 YouTube 平台的信任，诱骗受害者下载恶意软件。”

示例：被入侵账户开始发布恶意游戏作弊广告 |图片来源：Check Point Research

GachiLoader 核心技术与攻击链解析

1. 恶意软件核心组件

组件	核心特性	作用
GachiLoader	基于 Node.js 开发，采用深度代码混淆，区别于传统二进制恶意软件	作为初始加载器，为最终载荷铺路，衔接后续攻击环节
Kidkadi	GachiLoader 的二级组件，采用新颖的 PE 注入技术	绕过安全工具检测，实现恶意载荷的隐蔽执行
Rhadamanthys	臭名昭著的信息窃取器	最终载荷，专门窃取受感染设备中的账号凭证与敏感数据

2. 独创 PE 注入技术原理

Kidkadi 没有使用易被安全工具识别的标准注入方法，而是采用了一种隐蔽手段：加载一个合法的动态链接库（DLL），并滥用向量异常处理（Vectored Exception Handling） 机制，实时将其替换为恶意载荷。这种 “障眼法” 能让恶意软件避开多数终端防护系统的检测。研究人员称，攻击者展现出对 Windows 系统底层原理的熟练掌握，对已知技术进行了新的变体改造。

3. 分析难点与应对方案

Node.js 混淆恶意软件的逆向分析向来繁琐。为此，Check Point 研究团队开发了一款新工具，帮助分析人员快速剥离混淆代码，提升分析效率。

安全防护建议与检测方法

1. 用户层面防护

用户应警惕 YouTube 上 “天上掉馅饼” 式的诱惑，尤其对以下内容保持高度怀疑：

声称可免费获取付费软件的链接；
破解软件、注册机、修改器或作弊程序的下载资源，这类文件往往被植入窃密恶意软件。

2. 企业与安全团队防护

网络防护：限制员工访问可疑文件托管平台，屏蔽与已知恶意活动相关的域名和 IP。
终端防护：升级终端安全软件，启用行为检测功能，重点监控 Node.js 脚本的异常进程注入行为。
威胁检测：排查系统日志，关注以下异常行为：
- Node.js 进程加载未知 DLL 并触发向量异常处理；
- 无合理业务场景的凭证窃取行为，如访问浏览器密码存储、VPN 配置文件等。
应急处置：一旦发现感染，立即隔离设备，重置所有敏感账号密码，排查内网是否存在横向移动痕迹。